Firefox 158.0.1 schließt SVG-Lücke und verstärkt den Schutz vor falschen Zertifikaten
Mozilla verteilt Firefox 158.0.1 für Desktop und Android. Das Sicherheitsupdate vom 20. Oktober 2026 korrigiert unter anderem die als hoch eingestufte Schwachstelle CVE-2026-113399 in der SVG-Verarbeitung und liefert einen zusätzlichen Schutz vor missbrauchten HTTPS-Zertifikaten aus dem eMudhra-Vorfall.
Welche Lücken Mozilla nennt
In der offiziellen Sicherheitsmeldung MFSA 2026-111 führt Mozilla mehrere Einträge auf. Besonders relevant sind die SVG-Grenzbedingungs-Schwachstelle CVE-2026-113399 sowie CVE-2026-113470 im Bereich kryptografischer Sperrlisten. Zusätzlich wurden ein Speicherinitialisierungsproblem in einer Audio-/Videokomponente und eine Denial-of-Service-Möglichkeit im PDF-Viewer adressiert.
Die Einstufung „hoch“ bedeutet nicht zwangsläufig, dass jede dieser Lücken bereits aktiv ausgenutzt wird. Mozilla gibt in diesem Advisory keine pauschale Bestätigung laufender Angriffe auf alle genannten Probleme.
Warum Firefox ein Update braucht, obwohl die Sperrliste schon verteilt wurde
Die kompromittierten privaten Schlüssel von acht eMudhra-Zwischenzertifikaten wurden bereits am 17. Oktober über Mozillas OneCRL-Sperrliste blockiert. Bei Standardinstallationen erreichte die Sperre laut Mozilla praktisch alle Firefox-Nutzer noch am selben Abend, ohne dass ein Neustart nötig war.
Firefox 158.0.1 stellt diese Schutzinformation zusätzlich für Nutzer bereit, bei denen RemoteSettings oder die reguläre Sperrlistenverteilung per Richtlinie oder Netzwerk eingeschränkt war. Das ist besonders in Unternehmen mit zentral verwalteten Browsern wichtig.
Welche ESR-Versionen verfügbar sind
Für längere Wartungszweige veröffentlicht Mozilla parallel Firefox ESR 153.5.1 und Firefox ESR 115.43.1. Nicht jeder Rechner muss deshalb auf den regulären Browser-Zweig wechseln: Bei verwalteten Installationen entscheidet die eingesetzte ESR-Linie über das richtige Paket.
Update richtig prüfen
- Im Firefox-Menü Hilfe → Über Firefox öffnen.
- Automatische Suche und gegebenenfalls Installation der aktuellen Version abwarten.
- Den Browser nach einer Installation neu starten, wenn Firefox dazu auffordert.
- Bei Firmenrechnern prüfen, ob die Sicherheitsupdates durch die zentrale Softwareverteilung ausgerollt wurden.
Wer ungewöhnliche Zertifikatswarnungen sieht, sollte keine Ausnahme hinzufügen. Der Schutz gegen manipulierte Vertrauensketten funktioniert nur dann zuverlässig, wenn Browser und zugehörige Sicherheitslisten aktuell bleiben.
Einordnung
Die Hintergründe zum eMudhra-Vorfall und zu kompromittierten HTTPS-Zertifikaten erläutert ein eigener Beitrag. Firefox 158.0.1 ist die konkrete Browser-Maßnahme, die über die allgemeine Sperrlistenverteilung hinausgeht. Damit hat Mozilla auf zwei Ebenen reagiert: schnell per Remote-Blockliste und anschließend mit einem regulären Sicherheitsrelease.
Quellen: Mozilla MFSA 2026-111 · Mozilla Security Blog, 20.10.2026.
