Mozilla corrige dos fallos críticos en Firefox 158 que permiten escapar del sandbox del navegador

Qué ha pasado

Mozilla ha publicado el aviso MFSA2026-106, fechado el 13 de octubre de 2026, con las vulnerabilidades corregidas en Firefox 158. Entre ellas destacan dos que el NVD ha clasificado como críticas, con una puntuación CVSS de 9,6 sobre 10.

CVE-2026-109705 combina un problema de aislamiento de sitios por condiciones de contorno incorrectas y un uso después de liberación (use-after-free) en el componente de red, lo que permite escapar del sandbox del navegador. CVE-2026-109707 es también un escape de sandbox provocado por un use-after-free en ese mismo componente de red.

El sandbox es la barrera que impide que el contenido de una página web interactúe con el resto del sistema operativo. Si se rompe, un atacante que controle una web maliciosa podría ejecutar código fuera de ese aislamiento. Según el vector CVSS, el ataque se lanza por red, no requiere privilegios previos y sí necesita interacción del usuario: basta con que la víctima abra una página preparada. El impacto sobre confidencialidad, integridad y disponibilidad es alto.

Conviene señalar una discrepancia: Mozilla califica ambos fallos de impacto alto en su aviso, mientras que el NVD les asigna una puntuación crítica de 9,6. En cualquiera de los dos casos, la recomendación es la misma: actualizar cuanto antes.

A quién afecta

Afecta a los usuarios de Firefox en cualquier plataforma y, en el caso de CVE-2026-109705, también a Firefox ESR, la versión de soporte extendido que muchas organizaciones despliegan de forma gestionada. Las etiquetas de producto proceden en parte de la descripción del fallo, por lo que conviene verificar la versión instalada en el parque.

• Firefox: corregido en la versión 158.
• Firefox ESR: corregido en la versión 153.5.
• Esta actualización se suma a la corrección publicada el 8 de octubre en Firefox 157.0.1 (CVE-2026-106016).

Estado de la explotación

Ninguna de las dos vulnerabilidades figura en el catálogo KEV de CISA, es decir, no hay explotación activa confirmada, y no se conoce ningún código de explotación público. Tampoco tienen todavía puntuación EPSS, por lo que no es posible estimar la probabilidad de explotación a corto plazo.

El detalle técnico de CVE-2026-109705 está en un informe de Bugzilla restringido, una práctica habitual de Mozilla para limitar la información disponible hasta que el parche esté desplegado. Aun así, los escapes de sandbox son objetivos muy atractivos y suelen analizarse con rapidez tras la publicación del parche.

Qué hacer

La actualización es sencilla y debería priorizarse en los próximos días, sin necesidad de ventana de emergencia salvo que se detecte explotación.

• Actualizar Firefox a la versión 158 y Firefox ESR a la 153.5.
• Comprobar que la actualización automática de Firefox está habilitada y que el navegador se reinicia para aplicar el parche: en muchos equipos la descarga se completa pero el cambio no es efectivo hasta reiniciar.
• En entornos gestionados, revisar las políticas empresariales que puedan estar retrasando la actualización y distribuir la nueva versión mediante la herramienta de despliegue habitual.
• Inventariar los equipos que sigan en versiones anteriores a 158 (o 153.5 en ESR) y hacer seguimiento hasta cerrar el despliegue.

Fuentes

• Mozilla Foundation Security Advisory 2026-106 (Firefox 158)

Tecnologías afectadas

Vulnerabilidades (2)