Firefox 160 on üç sandbox kaçışını kapattı

Mozilla, 10 Kasım’da yayınladığı MFSA 2026-125 bülteniyle Firefox 160’ı duyurdu. Bülten “yüksek” etki derecesinde ve tek başlıkta 99 CVE düzeltmesi içeriyor. Bunların 13’ü tarayıcının sandbox katmanından kaçış açığı.

Sandbox kaçışı neden önemli

Tarayıcılar açtıkları her sekmeyi ayrı ve kısıtlı bir süreçte çalıştırıyor. Sandbox denilen bu katman, bir sitedeki hatanın işletim sistemine ulaşmasını engelliyor. Sandbox kaçışı bu duvarı aşan hata anlamına geliyor: saldırganın elinde ikinci bir açık varsa zararlı bir sayfa cihazda kod çalıştırabilir hale geliyor. NVD, bu kaçış kayıtlarının çoğuna CVSS 3.1 üzerinden 9.6 puan veriyor.

Kapatılan kayıtlardan öne çıkanlar

Sandbox kaçışları tarayıcının farklı bileşenlerine yayılmış durumda:

CVE-2026-124853: Graphics: Text bileşeninde hatalı sınır koşulu
CVE-2026-124859: Storage Cache API bileşeninde hatalı sınır koşulu
CVE-2026-124861: ses ve video tarafındaki cubeb bileşeninde use-after-free
CVE-2026-124864: DOM: Service Workers bileşeninde use-after-free
CVE-2026-124903: IPC bileşeninde use-after-free
CVE-2026-124917, CVE-2026-124921, CVE-2026-124923 ve CVE-2026-124933: Widget: Gtk, WebGPU, Agent ve Console bileşenlerindeki kaçışlar

Bülten yalnızca sandbox ile sınırlı değil. Üç ayrı site isolation sorunu (CVE-2026-124913, CVE-2026-124914, CVE-2026-124927), iki aynı-köken politikası atlatması (CVE-2026-124931 ve CVE-2026-124950), JavaScript motorundaki JIT yanlış derlemeleri (CVE-2026-124939 ve CVE-2026-124946) ve adres çubuğunda sahte içerik gösterilmesine yol açan kayıtlar da düzeltilenler arasında.

Hangi sürümlerde düzeltildi

Aynı düzeltmeler Firefox 160’ın yanı sıra Firefox ESR 115.45, Firefox ESR 153.7, Thunderbird 160 ve Thunderbird 153.7 sürümlerine de girdi. Yani uzun destekli sürüm kullananlar da güncelleme alıyor.

Firefox kendini arka planda güncelliyor; yeni sürüm indirildikten sonra tarayıcıyı bir kez kapatıp açmak yeterli. Sürüm numarası About Firefox ekranından kontrol edilebilir, 160’ın altında bir numara görünüyorsa güncelleme henüz uygulanmamış demektir. Kurumsal dağıtımlarda ESR 115.45 ya da ESR 153.7 sürümüne geçilmesi gerekiyor. Thunderbird’de de aynı sürüm numaralarına güncelleme şart.

Bültendeki kayıtlardan biri Firefox for Android’in Media bileşenini ilgilendiriyor, yani mobil tarafta da güncel sürümü kullanmak gerekiyor. Sandbox kaçışları tek başına uzaktan kod çalıştırma anlamına gelmiyor; ancak tarayıcıdaki başka bir bellek hatasıyla birleştirildiğinde saldırganın cihaz üzerinde yetki kazanmasının önünü açıyor. Mozilla bülteni “yüksek” etkiyle yayınladı ve güncellemeyi öneriyor.

Kaynak: Mozilla MFSA 2026-125 · NVD