Firefox 154 corrige une sortie de sandbox notée CVSS 10.0 sans interaction utilisateur
Le 18 août 2026, Mozilla a corrigé CVE-2026-75874, une sortie de sandbox dans le composant Remote Settings de Firefox, notée CVSS 10.0 et exploitable sans aucune interaction. Mettez à jour Firefox et Thunderbird 154 sur l’ensemble du parc sans attendre.
18 août 2026. CVSS 10.0. Aucune interaction. Mozilla a corrigé CVE-2026-75874, une sortie de sandbox dans le composant Remote Settings Client de Firefox, notée CVSS 10.0 — le score maximal. Le vecteur est sans appel : réseau, complexité faible, aucun privilège, aucune interaction utilisateur, scope changé, impact total sur la confidentialité, l’intégrité et la disponibilité. La correction est livrée dans Firefox 154 et Thunderbird 154.
Ce qu’une sortie de sandbox à 10.0 signifie vraiment
Un score CVSS 10.0 est déjà rare. Un 10.0 sans interaction — UI:N dans le vecteur — l’est plus encore. Il signifie qu’aucune action de la victime n’est requise : la simple visite d’une page malveillante, ou la réception d’un contenu traité par le composant, suffit. Il n’y a pas de pièce jointe à ouvrir, pas de lien à cliquer, pas de boîte de dialogue à valider.
La sortie de sandbox en elle-même désigne le franchissement de la frontière de sécurité la plus importante d’un navigateur moderne. Firefox isole le contenu web dans un processus de contenu aux privilèges réduits, séparé du processus parent qui détient les données de l’utilisateur, les fichiers et le réseau. Une sortie de sandbox, c’est un contenu confiné qui parvient à exécuter du code au niveau du processus parent — c’est-à-dire avec les droits de l’utilisateur sur la machine entière.
Le composant en cause : Remote Settings
Remote Settings est le canal par lequel Mozilla distribue des données de configuration à distance aux navigateurs : listes de blocage Safe Browsing, system add-ons, paramètres d’expérimentation Nimbus, configuration de recherche. Le Remote Settings Client est le composant côté navigateur qui télécharge, vérifie et applique ces données.
C’est une cible de choix pour un attaquant, pour une raison simple : ce composant traite par construction des données provenant d’un serveur distant, de manière largement automatique et invisible pour l’utilisateur. Une faille dans son traitement ouvre la voie à une compromission qui ne demande ni interaction ni piège sophistiqué. Le CWE-693 associé — Protection Mechanism Failure — décrit exactement cela : un mécanisme de protection est en place, mais il ne protège pas.
Pourquoi le navigateur est devenu la cible n°1 du poste
Cette faille illustre un basculement que les équipes ont parfois du mal à acter : le navigateur est désormais la surface d’attaque la plus critique du poste de travail. C’est l’application qui exécute le plus de code non fiable, le plus souvent, avec le plus de privilèges — et c’est la porte d’entrée vers l’ensemble des services web de l’entreprise.
Un pare-feu ou un EDR peut bloquer un exécutable malveillant. Il ne peut pas voir grand-chose d’une sortie de sandbox qui se produit à l’intérieur d’un navigateur légitime, signé et à jour. La seule parade fiable, ici, c’est le patch : une sortie de sandbox corrigée cesse d’être exploitable, indépendamment du reste de la chaîne de défense.
Le correctif et la fenêtre d’exposition
Mozilla a livré la correction dans Firefox 154 et Thunderbird 154, publiés le 18 août 2026. Le même cycle a fermé plusieurs autres failles de moindre gravité — des problèmes d’isolation de site, une faille de contournement dans Safe Browsing, des soucis dans WebExtensions. L’ensemble forme un lot de sécurité substantiel, mais c’est CVE-2026-75874 qui porte le 10.0.
La fenêtre d’exposition réelle est difficile à borner : Mozilla n’a pas communiqué d’exploitation active à ce jour, et la faille ne figure pas encore au KEV de la CISA. Mais pour une faille de cette classe — sans interaction, à distance, impact total — le coût d’attente dépasse de très loin le coût de déploiement. Le patch n’attend pas que l’exploitation soit publique pour être urgent.
Ce qu’il faut faire
- Mettre à jour Firefox et Thunderbird vers 154 sur tous les postes, y compris les environnements de test et les machines personnelles utilisées pour le travail ;
- Imposer la mise à jour automatique des navigateurs, sans possibilité de différer indéfiniment ;
- Vérifier les versions déployées : un parc hétérogène laisse des postes à la traîne qui restent exposés ;
- Limiter la surface : extensions au strict nécessaire, navigation sensible dans un profil isolé ou un conteneur dédié.
# Linux — vérifier la version installée
firefox --version
thunderbird --version
# Debian/Ubuntu — mettre à jour via le gestionnaire de paquets
sudo apt update && sudo apt install --only-upgrade firefox-esr thunderbirdLa sortie de sandbox est corrigée côté navigateur. Ce qui ne l’est pas, c’est la vitesse à laquelle vos postes reçoivent le correctif — et c’est là que se joue le risque résiduel.
Verdict
Le correctif est simple, l’enjeu ne l’est pas. Poussez Firefox 154 et Thunderbird 154 sur l’ensemble du parc immédiatement, et vérifiez qu’aucun poste ne stagne sur une version antérieure. Une sortie de sandbox à CVSS 10.0 sans interaction est le type de faille pour lequel il n’existe pas de mitigation compensatoire crédible : le patch est la défense.
À plus long terme, traitez le navigateur comme ce qu’il est devenu — l’application la plus attaquée de votre parc — avec la même rigueur de versionnage, de cadence de patch et de supervision que vous appliquez à votre infrastructure serveur. La frontière entre le poste et l’infrastructure a disparu : le navigateur est sur cette frontière.