Firefox 159.0.1: aktualizacja usuwa CVE-2026-120572

Mozilla opublikowała Firefox 159.0.1, aby usunąć podatność CVE-2026-120572 ocenioną przez producenta jako wysokiego ryzyka. Błąd dotyczy nieprawidłowych warunków brzegowych w komponencie układu strony Layout: Block and Inline.

Oficjalny biuletyn jest krótki i nie opisuje publicznego exploita ani potwierdzonych ataków. Nie jest to jednak powód do odkładania aktualizacji: przeglądarka przetwarza treści z niezaufanych stron, a naprawiona wersja jest już dostępna.

Najważniejsze działanie: zaktualizuj Firefox do 159.0.1 lub nowszego, uruchom ponownie przeglądarkę i sprawdź pełny numer wersji. W firmie zweryfikuj stan na wszystkich profilach i urządzeniach, nie tylko pobranie pakietu przez system zarządzania.

Co wiadomo o CVE-2026-120572

Mozilla ogłosiła poprawkę 3 listopada 2026 r. Podatność znajduje się w mechanizmie odpowiedzialnym za układ bloków i elementów liniowych strony. Producent oznaczył jej wpływ jako high i wskazał, że problem został rozwiązany w Firefox 159.0.1.

Warunki brzegowe określają, jak program zachowuje się na granicach dozwolonych zakresów i przy nietypowych kombinacjach danych. Błąd w tej klasie może prowadzić do nieprawidłowego dostępu do pamięci lub nieoczekiwanego działania. Sam komunikat Mozilli nie podaje jednak dokładnego scenariusza nadużycia, dlatego nie należy dopowiadać, że potwierdzono konkretny skutek, którego producent nie opisał.

Z punktu widzenia użytkownika najważniejszy jest prosty fakt: wszystkie wersje Firefox starsze niż 159.0.1 nie zawierają tej poprawki. Biuletyn dotyczy zwykłego kanału Firefox; nie wymienia w tym komunikacie osobnego wydania ESR.

Czy CVE-2026-120572 jest aktywnie wykorzystywana

Biuletyn Mozilla MFSA 2026-123 nie informuje o wykorzystaniu podatności w rzeczywistych atakach. Nie podaje też dowodu na dostępność publicznego kodu demonstracyjnego. Oznacza to, że nie ma podstaw, by przedstawiać CVE-2026-120572 jako potwierdzony zero-day.

Brak informacji o atakach nie jest równoznaczny z brakiem ryzyka. Przeglądarka jest stale wystawiona na dokumenty i aplikacje internetowe kontrolowane przez osoby trzecie. Aktualizacja do wersji naprawionej jest zwykle szybsza i tańsza niż próba oceny, czy każda odwiedzana witryna może wywołać wadliwą ścieżkę renderowania.

Jak zaktualizować Firefox do wersji 159.0.1

Użytkownik komputera

Otwórz menu Firefox i wybierz Pomoc → O programie Firefox.
Poczekaj na pobranie aktualizacji z mechanizmu przeglądarki.
Uruchom Firefox ponownie, gdy aplikacja o to poprosi.
Otwórz to samo okno jeszcze raz i potwierdź wersję 159.0.1 lub nowszą.

Nie pobieraj „pilnej łatki do Firefoxa” z reklamy, wiadomości e-mail ani przypadkowej strony. Aktualizację instaluj z wbudowanego mechanizmu, oficjalnego serwisu Mozilla albo repozytorium systemu operacyjnego.

Firma i zespół IT

Administrator powinien sprawdzić wersję rzeczywiście uruchomioną po restarcie, a nie wyłącznie status zadania instalacyjnego. W raporcie warto rozdzielić:

urządzenia z Firefox 159.0.1 lub nowszym;
komputery, na których pakiet pobrano, ale aplikacja czeka na ponowne uruchomienie;
urządzenia nieaktywne lub poza zasięgiem narzędzia zarządzającego;
instalacje wykonane przez użytkownika poza standardowym katalogiem;
systemy, na których aktualizacje blokuje niekompatybilne rozszerzenie lub aplikacja biznesowa.

Najpierw aktualizuj stanowiska obsługujące finanse, administrację, pocztę uprzywilejowaną, konsole chmurowe i systemy zarządcze. Następnie ustaw krótki termin zgodności dla całej floty i monitoruj wyjątki do ich zamknięcia.

Dlaczego samo automatyczne aktualizowanie może nie wystarczyć

Firefox może pobrać poprawkę w tle, ale stary proces przeglądarki pozostaje aktywny do ponownego uruchomienia. Użytkownik z dziesiątkami otwartych kart może przez kilka dni odkładać restart. W środowisku firmowym warto mierzyć numer wersji procesu lub stan po restarcie, a nie tylko obecność nowego pakietu na dysku.

Problemem bywają również komputery rzadko podłączane do sieci, maszyny wirtualne uruchamiane sporadycznie i konta lokalne z osobną instalacją. Dobra ewidencja podatności łączy dane z MDM lub EDR, skanera oprogramowania i informacji o ostatnim kontakcie urządzenia. Szerszy model priorytetyzacji opisujemy w poradniku zarządzanie podatnościami krok po kroku.

Co komunikować pracownikom

Krótki komunikat jest skuteczniejszy niż lista technicznych szczegółów: „Zamknij i ponownie uruchom Firefox, a następnie sprawdź, czy masz co najmniej wersję 159.0.1”. Dodaj zrzut lokalizacji numeru wersji i termin wykonania.

Warto od razu przypomnieć, że prawdziwa aktualizacja nie wymaga podawania hasła do poczty ani danych karty na stronie internetowej. Cyberprzestępcy często wykorzystują wiadomości o głośnych lukach jako pretekst do phishingu i fałszywych instalatorów.

Fakty źródłowe i wnioski Breachroad

Mozilla potwierdza datę publikacji, wysoką ocenę wpływu, komponent Layout: Block and Inline, identyfikator CVE-2026-120572 i wersję naprawioną Firefox 159.0.1. Oficjalny biuletyn nie zgłasza aktywnego wykorzystania.

Kolejność wdrożenia w firmie, sposób raportowania restartów, kontrola instalacji poza standardem oraz komunikat dla pracowników są rekomendacjami Breachroad. Szkolenia cyberbezpieczeństwa pomagają zespołom odróżnić prawdziwe aktualizacje od fałszywych komunikatów, a audyt bezpieczeństwa IT może ocenić pokrycie floty i proces usuwania podatności.

FAQ: Firefox 159.0.1 i CVE-2026-120572

Jaka wersja Firefox usuwa CVE-2026-120572?

Mozilla wskazuje Firefox 159.0.1. Bezpiecznym celem jest ta wersja lub każda nowsza stabilna wersja udostępniona przez producenta.

Czy wystarczy pobrać aktualizację?

Nie zawsze. Przeglądarka zwykle wymaga ponownego uruchomienia, aby aktywować nową wersję. Po restarcie sprawdź numer w oknie „O programie Firefox”.

Czy podatność jest wykorzystywana w atakach?

Oficjalny biuletyn nie informuje o aktywnym wykorzystaniu. CVE-2026-120572 nie należy więc przedstawiać jako potwierdzonego zero-day bez nowych dowodów.

Czy trzeba odinstalować Firefox?

Nie. Standardowym rozwiązaniem jest aktualizacja do 159.0.1 lub nowszej. Odinstalowanie może być potrzebne tylko w ramach lokalnej polityki firmy albo przy uszkodzonej instalacji.

Źródła pierwotne: Mozilla — MFSA 2026-123, Mozilla — aktualizacja Firefox, Mozilla — lista biuletynów bezpieczeństwa.