Mozilla corrige otros dos fallos críticos de escape del sandbox en Firefox 158 y Thunderbird
Se suman a las dos vulnerabilidades de Firefox 158 publicadas el 13 de octubre: NVD puntúa con CVSS 9.6 otros dos fallos, CVE-2026-109708 y CVE-2026-109755, que permiten escapar del sandbox. Afectan a Firefox, Firefox ESR y Thunderbird anteriores a las versiones corregidas.
Qué ha pasado
Esta noticia amplía la publicada el 13 de octubre sobre CVE-2026-109705 y CVE-2026-109707. Los dos nuevos fallos se corrigen en la misma actualización, Firefox 158, que Mozilla recoge en su aviso de seguridad MFSA 2026-106. NVD asigna a ambos una puntuación CVSS 9.6, de gravedad crítica.
Según el aviso de Mozilla, CVE-2026-109708 es un escape del sandbox causado por condiciones de límite incorrectas en el componente de red (Networking), detectado por el propio equipo de Mozilla. CVE-2026-109755 es otro escape del sandbox, en este caso en el componente DOM: Content Processes; su descripción procede de NVD, porque el extracto del aviso del fabricante del que disponemos no llega a detallarlo.
El sandbox es la barrera que aísla el contenido web del resto del sistema. Escapar de él permite que un código malicioso vaya más allá de la pestaña del navegador y, potencialmente, comprometa el equipo. Según el vector CVSS, el ataque puede lanzarse por red y sin credenciales, aunque requiere alguna interacción del usuario, como abrir una página o un contenido manipulado.
Hay una discrepancia de valoración: Mozilla califica CVE-2026-109708 con impacto alto, mientras que NVD lo considera crítico. Mozilla también explica que ya no agrupa los fallos de seguridad de memoria en una sola CVE, sino que publica una por cada error, lo que explica el elevado número de identificadores de este lanzamiento.
A quién afecta
Según los datos de NVD, estas son las versiones que incluyen la corrección; cualquier instalación anterior en su rama está afectada:
- Firefox 158: corrige CVE-2026-109708 y CVE-2026-109755.
- Firefox ESR 153.5: corrige CVE-2026-109708.
- Thunderbird 158: corrige CVE-2026-109708 y CVE-2026-109755.
- Thunderbird 153.5: corrige CVE-2026-109708.
- Para CVE-2026-109755, NVD solo menciona Firefox 158 y Thunderbird 158; no cita las ramas de soporte extendido.
Estado de la explotación
Ninguna de las dos vulnerabilidades figura en el catálogo KEV de CISA, por lo que no hay explotación activa confirmada, y no se conoce ningún exploit público. FIRST estima una probabilidad del 0.2 % de que se exploten en el próximo mes, así que por ahora se considera poco probable.
Aun así, la puntuación es crítica y los navegadores son un objetivo habitual. Los escapes del sandbox son especialmente valiosos para los atacantes porque suelen encadenarse con otros fallos para tomar el control del equipo.
Qué hacer
La solución es la misma actualización que ya recomendamos el 13 de octubre, así que quien la haya aplicado ya está protegido. Para el resto:
- Actualizar Firefox a la versión 158 o Firefox ESR a la versión 153.5.
- Actualizar Thunderbird a la versión 158 o 153.5, según la rama utilizada.
- Comprobar en el inventario o la consola de gestión que todos los equipos han instalado la versión corregida y se han reiniciado.
- Revisar que las políticas corporativas no bloqueen las actualizaciones automáticas del navegador ni del cliente de correo.
- Recordar a los usuarios que cierren y vuelvan a abrir el navegador cuando se les solicite.
Fuentes
Tecnologías afectadas
Vulnerabilidades (2)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-109708 | Crítica (9.6) | — | 13/10/2026 | Aplazada |
| CVE-2026-109755 | Crítica (9.6) | — | 13/10/2026 | Aplazada |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.