Firefox 159 und ESR 153.6 schließen 167 Sicherheitslücken

Mozilla hat am 27. Oktober 2026 Firefox 159.0 sowie die Langzeitversionen Firefox ESR 153.6.0 und ESR 115.44.0 veröffentlicht. Das Sicherheitsbulletin MFSA 2026-118 listet für Firefox 159 genau 167 CVEs, 108 davon mit hohem Schweregrad, keine davon kritisch. Für Unternehmen bringt die Version außerdem neue und geänderte Richtlinien für Firefox Enterprise.

Betroffen sind alle Firefox-Installationen unter Windows, macOS und Linux vor diesen Versionsständen, ebenso Thunderbird vor 159 bzw. 153.6. Hinweise auf aktive Ausnutzung nennt Mozilla nicht. Ein Notfall ist das Update damit nicht, wegen der vielen hoch eingestuften Lücken sollte es aber im normalen Patchzyklus dieser Woche ausgerollt werden und nicht bis zum nächsten Monat liegen bleiben.

Was ist passiert?

Seit Herbst fasst Mozilla intern gefundene Speicherfehler nicht mehr in einer Sammel-CVE zusammen, sondern vergibt für jeden Bug eine eigene Kennung. Das erklärt die hohen Zahlen. In MFSA 2026-118 für Firefox 159 stehen 108 hohe, 52 mittlere und 7 niedrige Einstufungen. Darunter sind 13 Sandbox-Ausbrüche und 97 Use-after-free-Fehler in verschiedenen Komponenten. Die Bulletins für ESR 153.6 (MFSA 2026-120) und ESR 115.44 (MFSA 2026-119) enthalten 145 bzw. 80 CVEs. Thunderbird 159 (MFSA 2026-121, 173 CVEs) und Thunderbird 153.6 (MFSA 2026-122, 154 CVEs) erhielten am selben Tag die entsprechenden Korrekturen.

Funktional bringt Firefox 159 eine Tastenkombination zum Durchsuchen offener Tabs (Strg+Umschalt+A unter Windows und Linux, Cmd+Umschalt+A unter macOS). Das Kürzel für Erweiterungen und Themes wechselt dadurch auf Strg+Umschalt+F bzw. Cmd+Umschalt+E. Gespeicherte Passwörter sind nun standardmäßig in der Seitenleiste erreichbar. Die Funktion Smart Window kann per /watch Seiten auf Änderungen überwachen, sie wird schrittweise verteilt. Die Zusammenfassen-Option des KI-Chatbots sendet künftig die Adresse der Seite statt des Seitentexts an den Chatbot-Anbieter. Behoben wurden unter anderem ein Speicherproblem bei minimierten Web-Apps wie Zoom, abreißende Tabs unter Wayland und fehlende Rückfälle auf HTTP/2, wenn eine Seite HTTP/3 ablehnt.

Wer ist betroffen?

Alle Nutzer von Firefox vor 159.0, Firefox ESR vor 153.6.0 und, auf älteren Systemen wie Windows 7, Firefox ESR vor 115.44.0. Für Firmen relevant sind zudem die Richtlinienänderungen aus den Enterprise-Release-Notes: Die Richtlinie SignOut erhält mit Crash.Action eine Einstellung, ob Nutzer nach einem Absturz vollständig abgemeldet werden oder der Browser gesperrt wird. SkipTermsOfUse wird nun auch in Firefox Enterprise unterstützt. Und bei Cookies werden Cookies der unter Block eingetragenen Hosts künftig bei jeder Anwendung der Richtlinie gelöscht, nicht nur bei einer Änderung der Liste. Die beiden Änderungen an SignOut und Cookies gelten laut Mozilla nur für Firefox Enterprise.

Wie kritisch ist das?

Hoch, aber nicht akut. Mozilla vergibt keine kritische Einstufung, und es gibt keine Meldung über Angriffe. Viele der Fehler betreffen Speicherverwaltung und Sandbox, also Bereiche, die Angreifer typischerweise kombinieren. Wer Firefox auf vielen Rechnern betreibt, sollte deshalb nicht auf den nächsten Release-Termin am 6. November warten.

Was sollten Admins jetzt tun?

• Version prüfen: Über about:support oder im Software-Inventar den installierten Stand ermitteln und mit 159.0, 153.6.0 und 115.44.0 abgleichen.
• Updates über die übliche Softwareverteilung oder das integrierte Update ausrollen und Clients neu starten lassen.
• Thunderbird auf 159 bzw. 153.6 aktualisieren.
• Bei Firefox Enterprise die Wirkung der geänderten Richtlinien SignOut und Cookies in einer Testgruppe prüfen.
• Interne Anleitungen und Schulungsunterlagen an die geänderten Tastenkürzel anpassen.
• Prüfen, ob die Chatbot-Funktionen per Richtlinie gesteuert werden sollten, da nun Seitenadressen an den Anbieter gehen.

Einordnung für Unternehmen

Die neue CVE-Zählweise sorgt für auffällig hohe Zahlen, ändert aber wenig an der Praxis: Firefox erscheint derzeit etwa alle zwei Wochen in neuer Version, und jede davon braucht ein zügiges Update. Wer die ESR-Linie nutzt, um Funktionsänderungen zu vermeiden, erhält die Sicherheitskorrekturen mit 153.6.0 ebenfalls. Ältere Systeme auf ESR 115 bleiben weiter versorgt, sie sollten aber trotzdem auf einen Ersatz zusteuern.

Passende Anleitungen auf S-EDV

• Firefox 158: Neustart-Richtlinie und Supportende für ESR 140
• Firefox 157 und ESR 153.4: Sicherheitsupdate und neues Design

Quellen

• Mozilla: MFSA 2026-118, Security Vulnerabilities fixed in Firefox 159 (27.10.2026)
• Mozilla: Security Advisories (MFSA 2026-119 bis 2026-122)
• Mozilla: Firefox 159 release notes for enterprise admins
• Mozilla: Firefox 159.0 Release Notes
• Deskmodder: Firefox 159, 153.6 ESR und 115.44.0 ESR mit 167 Sicherheitskorrekturen