Mozilla ha lanzado Firefox 152 para solucionar múltiples vulnerabilidades de severidad alta que podrían permitir la ejecución remota de código (RCE) y ataques de escape del sandbox.

El aviso de seguridad, publicado el 16 de junio de 2026, destaca una amplia gama de fallos que afectan a los componentes principales del navegador y enfatiza la urgencia de que actualices inmediatamente.

Varias de las vulnerabilidades parcheadas están clasificadas como de alto impacto, involucrando principalmente problemas de seguridad de memoria, errores de tipo "use-after-free" y fallos de escalada de privilegios.

Estos fallos pueden ser explotados por atacantes mediante contenido web especialmente diseñado, permitiendo potencialmente la ejecución de código arbitrario en los sistemas afectados.

Múltiples Vulnerabilidades en Firefox 152

Entre las vulnerabilidades de alto riesgo destacan:

• CVE-2026-12289: Un fallo de escalada de privilegios en el componente WebRender que podría permitir a los atacantes obtener un acceso elevado.
• CVE-2026-12291: Una vulnerabilidad de "use-after-free" en el componente de red HTTP, que provoca la corrupción de la memoria.
• CVE-2026-12293: Un problema de "use-after-free" en el componente WebGPU que podría aprovecharse para la ejecución de código.
• CVE-2026-12294 a CVE-2026-12297: Múltiples vulnerabilidades de escape del sandbox que afectan a los DOM Workers, la Navegación y los mecanismos de sandboxing de procesos.
• CVE-2026-12299: Un error de compilación incorrecta JIT en los componentes DOM y HTML que podría resultar en un comportamiento de ejecución impredecible.

Además, Mozilla informó sobre varios errores de seguridad de memoria (por ejemplo, CVE-2026-12290, CVE-2026-12298, CVE-2026-12326, CVE-2026-12328) que demostraron la corrupción de la memoria.

Tales fallos son particularmente peligrosos porque los atacantes pueden explotarlos para ejecutar código arbitrario de forma remota. La presencia de múltiples vulnerabilidades de escape del sandbox aumenta significativamente la superficie de ataque.

En una cadena de explotación típica, un atacante podría primero explotar un fallo de corrupción de memoria para lograr la ejecución de código dentro del navegador y luego usar una vulnerabilidad de escape del sandbox para romper los límites de seguridad del navegador y comprometer el sistema subyacente.

Por ejemplo, combinar la CVE-2026-12291 (use-after-free) con la CVE-2026-12294 (escape del sandbox en DOM Workers) podría permitir un compromiso total desde el navegador hasta el sistema.

Además de los fallos de alto riesgo, Mozilla solucionó varias vulnerabilidades de severidad moderada y baja, incluyendo una omisión de la política de mismo origen (CVE-2026-12304) que afectaba al manejo de cookies.

Problemas de divulgación de información en los componentes WebGPU y el Gestor de Contraseñas, así como múltiples vulnerabilidades de omisión de mitigación en los mecanismos de seguridad DOM.

Problemas de denegación de servicio (DoS) en la reproducción de medios y componentes gráficos. Numerosos errores de seguridad de memoria en diversos módulos.

Aunque estos problemas son menos graves individualmente, aún pueden encadenarse con otras vulnerabilidades para mejorar la efectividad del ataque.

Según el aviso MFSA 2026-57, Mozilla ha parcheado estas vulnerabilidades en Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37 y Thunderbird 152, mientras que las versiones anteriores siguen siendo vulnerables.

Tú y tu organización deberían actualizar Firefox a la versión 152 o posterior, aplicar las últimas actualizaciones de ESR, activar las actualizaciones automáticas y monitorizar los sistemas en busca de signos de actividad sospechosa del navegador o intentos de explotación.

La actualización de Firefox 152 soluciona un conjunto crítico de vulnerabilidades, muchas de las cuales podrían encadenarse para lograr la ejecución remota de código y el compromiso total del sistema.

Dada la presencia de primitivas de explotación activas, como la corrupción de memoria y los escapes del sandbox, es esencial que instales el parche a tiempo para mantener la seguridad de tu navegador.