Mozilla publicó la versión 152 de Firefox para corregir múltiples vulnerabilidades de alta severidad que permiten ejecución de código remoto (RCE) y escapes de sandbox. Las fallas, afectando componentes críticos como WebRender, HTTP networking y WebGPU, pueden ser explotadas mediante contenido web malicioso para lograr ejecución arbitraria en sistemas comprometidos. La combinación de errores de memoria, *use-after-free* y vulnerabilidades de escalada de privilegios aumenta significativamente el riesgo de ataques en cadena.
CVE y severidad
| CVE | Severidad | Componente | Tipo |
|---|---|---|---|
| CVE-2026-12289 | Alta | WebRender | Escalada de privilegios |
| CVE-2026-12291 | Alta | HTTP networking | Use-after-free (corrupción de memoria) |
| CVE-2026-12293 | Alta | WebGPU | Use-after-free |
| CVE-2026-12294–CVE-2026-12297 | Alta | DOM Workers, Navigation, sandboxing | Escape de sandbox |
| CVE-2026-12299 | Alta | JIT (DOM/HTML) | Miscompilación |
| CVE-2026-12290, CVE-2026-12298, CVE-2026-12326, CVE-2026-12328 | Alta | Varios (memoria) | Corrupción de memoria |
| CVE-2026-12304 | Media | Mecanismos de seguridad DOM | Bypass de política de origen |
Productos afectados
| Fabricante | Producto | Componente | Versiones afectadas | Plataformas/SO |
|---|---|---|---|---|
| Mozilla | Firefox | Núcleo del navegador | Versiones anteriores a 152.0 | Windows, macOS, Linux |
| Mozilla | Firefox ESR | Núcleo del navegador | Versiones anteriores a 140.12 y 115.37 | Windows, macOS, Linux |
| Mozilla | Thunderbird | Núcleo del cliente de correo | Versiones anteriores a 152.0 | Windows, macOS, Linux |
Solución
Actualizar Firefox a la versión 152.0 o superior, Firefox ESR a 140.12 o 115.37, y Thunderbird a 152.0.
Recomendaciones
Priorizar la aplicación de las actualizaciones en todos los sistemas afectados durante el próximo ciclo de mantenimiento. En entornos críticos, considerar la implementación de políticas de actualización automática para navegadores y clientes de correo. Monitorear la actividad sospechosa en navegadores (ej.: procesos anómalos, uso excesivo de CPU por *rendering*) y validar la integridad de las actualizaciones mediante checksums oficiales. Windows: Deshabilitar temporalmente la ejecución de scripts en páginas no confiables hasta confirmar la aplicación exitosa del parche.