En bref
- Le fait. Le 13 octobre 2026, Mozilla a publié Firefox 158, qui corrige 77 failles (dont 30 de sévérité haute, aucune critique), ainsi que les versions ESR 153.5 et 115.43 et Thunderbird 158 et 153.5. Le 20 octobre, une seconde vague (Firefox 158.0.1, ESR 153.5.1 et 115.43.1, Thunderbird 158.0.1 et 153.5.1) corrige de nouvelles failles de sévérité haute et intègre le blocage de certificats intermédiaires eMudhra compromis. Mozilla ne signale aucune exploitation. Le CERT-FR a publié les avis CERTFR-2026-AVI-1305 (14 octobre) et CERTFR-2026-AVI-1346 (21 octobre). Source : bulletin Mozilla MFSA 2026-111.
- Êtes-vous concerné ? Oui, si des postes utilisent Firefox (y compris la version ESR souvent déployée en entreprise) ou la messagerie Thunderbird.
- Quoi faire :
- faites redémarrer Firefox et Thunderbird sur tous les postes pour appliquer la mise à jour automatique ;
- sur un parc géré, déployez Firefox ESR 153.5.1 (ou 115.43.1) et Thunderbird 153.5.1 ou 158.0.1 ;
- si la mise à jour automatique des listes de sécurité est désactivée par une stratégie, la version du 20 octobre est nécessaire pour bloquer les certificats eMudhra compromis.
- Urgence : haute, selon Mozilla (sévérité la plus élevée des bulletins d'octobre).
Détail technique
Versions corrigées (bulletins Mozilla) :
| Produit | 13 octobre | 20 octobre (à installer) |
|---|---|---|
| Firefox | 158 (MFSA 2026-106) | 158.0.1 (MFSA 2026-111) |
| Firefox ESR 153 | 153.5 | 153.5.1 (MFSA 2026-112) |
| Firefox ESR 115 | 115.43 | 115.43.1 (MFSA 2026-113) |
| Thunderbird | 158 | 158.0.1 (MFSA 2026-114) |
| Thunderbird 153 | 153.5 | 153.5.1 (MFSA 2026-115) |
Firefox 158 (13 octobre). 77 CVE : 30 de sévérité haute, 33 moyenne, 14 basse. Mozilla attribue désormais une CVE par anomalie, ce qui explique ce nombre élevé.
Firefox 158.0.1 (20 octobre) :
- CVE-2026-113399 (haute) : conditions limites incorrectes dans le composant SVG ;
- CVE-2026-113470 (haute) : mise à jour de la liste de blocage OneCRL. Mozilla a bloqué le 17 octobre des certificats intermédiaires eMudhra compromis via ses listes distantes ; la nouvelle version embarque cette liste pour que le blocage s'applique même quand ces listes ne sont pas reçues. Ce correctif est aussi présent dans les ESR 153.5.1 et 115.43.1 ;
- CVE-2026-113400 (moyenne) : mémoire non initialisée dans le composant audio et vidéo ;
- CVE-2026-113401 (basse) : déni de service dans la visionneuse PDF.
KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026). Mozilla ne signale aucune exploitation.
Contournement. Aucun : la mise à jour est la mesure à appliquer.
Vérifier sa version. Firefox : menu, Aide, À propos de Firefox (la fenêtre lance aussi la mise à jour). Thunderbird : menu, Aide, À propos de Thunderbird. Sur un parc géré, vérifier la version déployée dans l'outil de distribution et les stratégies d'entreprise appliquées à Firefox.