La actualización corrige problemas críticos en componentes como gráficos, JavaScript y redes, abordando seis fallos de alto impacto, incluyendo múltiples escapes de sandbox, que podrían permitir la ejecución de código arbitrario si se explotan.

Estas correcciones también aplican para Firefox ESR 140.7 y Thunderbird ESR 140.7/147, instando a los usuarios a actualizar inmediatamente ante el aumento de ataques dirigidos a navegadores.

La versión contrarresta amenazas sofisticadas descubiertas mediante informes de errores y fuzzing. Las vulnerabilidades de alta gravedad dominan, especialmente los escapes de sandbox en sistemas de gráficos y mensajería, reportados en gran parte por el investigador Oskar L.

Los errores de seguridad de memoria en CVE-2026-0891 y CVE-2026-0892 mostraron evidencia de corrupción y probablemente sean explotables con esfuerzo. No se ha confirmado explotación activa, pero el grupo de fallos en gráficos destaca riesgos continuos en WebGL y el renderizado de Canvas.

Escapes de Sandbox de Alto Impacto y Corrupción de Memoria

Varias vulnerabilidades permiten escapes de sandbox, rompiendo los mecanismos de aislamiento de Firefox. CVE-2026-0877 permite eludir mitigaciones en el DOM, mientras que CVE-2026-0878 a CVE-2026-0880 explotan condiciones de límite e desbordamientos de enteros en Graphics y CanvasWebGL.

CVE-2026-0881 afecta al Sistema de Mensajería. Un use-after-free en IPC (CVE-2026-0882) suma a la lista. Estos problemas de alto impacto, solucionados en la versión 147, podrían permitir a los atacantes ejecutar código fuera de contextos sandbox.

El equipo de fuzzing de Mozilla identificó errores de seguridad de memoria corregidos en CVE-2026-0891 (afectando a ESR 140.6, Firefox 146, Thunderbird 146) y CVE-2026-0892 (Firefox/Thunderbird 146). Errores como 1964722 y 2004443 mostraron patrones de corrupción propensos a explotación.

Las organizaciones deben priorizar las actualizaciones mediante el actualizador automático de Firefox o consolas de administración.