CVE-2026-109722: JIT Miscompilation in Firefox e Thunderbird

JIT miscompilation Firefox/Thunderbird (CVSS 8,1). Patch: Firefox 158, ESR 115.43/153.5, Thunderbird 158/153.5.

Il CVE-2026-109722 è una vulnerabilità di miscompilation JIT (Just-In-Time) nella JavaScript Engine di Firefox, Firefox ESR e Thunderbird. La falla risiede nel componente JIT e può consentire l'esecuzione di codice dannoso attraverso JavaScript elaborato in modo non sicuro durante la compilazione JIT.

La vulnerabilità presenta CVSS 8,1 (severity high). Mozilla ha confermato il fix in Firefox 158, Firefox ESR 115.43, Firefox ESR 153.5, Thunderbird 158 e Thunderbird 153.5, pubblicati in parallelo al CVE del 13 ottobre 2026. Segnali pubblici su GitHub (29 ottobre 2026) indicano interesse della comunità di ricerca, pur senza conferma di sfruttamento attivo.

Sysadmin e team IT devono aggiornare Firefox e Thunderbird alle versioni corrette con priorità alta. In ambienti ESR, applicare la patch 115.43 (per la linea ESR 115) o 153.5 (per la linea ESR 153). Verificare il deployment sui client aziendali, sistemi terminali e configurazioni di accesso remoto. La gravità richiede controllo entro 48-72 ore.

In sintesi

Cosa: JIT miscompilation nella JavaScript Engine. Vulnerabilità presente in Firefox, Firefox ESR (linee 115 e 153) e Thunderbird.
Gravità: CVSS 8,1 (high). Potenziale esecuzione di codice durante l'elaborazione di script JavaScript.
Versioni interessate: Firefox < 158; Firefox ESR < 115.43 e < 153.5; Thunderbird < 158 e < 153.5.
Correzione: Aggiornamento a Firefox 158, Firefox ESR 115.43 o 153.5, Thunderbird 158 o 153.5.
Stato: Patch ufficiale rilasciata da Mozilla. Segnali pubblici su GitHub rilevati il 29 ottobre 2026. Sfruttamento attivo: non confermato.
Azione: Aggiornare immediatamente. Priorità: alta. Timeline: 48-72 ore. Scope: client aziendali, sistemi terminali, infrastrutture di accesso remoto.

Fonti: NVD, CVE-2026-109722

← Tutti gli articoli