浏览器是每天接触不可信网页最多的软件，安全更新一刻都不能拖。11 月 3 日，Mozilla 发布 Firefox 159.0.1，修复一个被评为主级（High）的排版引擎漏洞，企业版 ESR 也同步更新。

事实要点

  • 编号为 CVE-2026-120572 的漏洞出在 Firefox 排版引擎的 Block 与 Inline 组件，属于边界条件检查错误，可导致内存越界写入，Mozilla 与美国 CISA 均将其评为 High，CVSS v3.1 基础分 8.8。
  • 攻击向量是恶意网页：攻击者诱导用户访问特制的 HTML/CSS 页面即可触发，潜在后果包括任意代码执行与浏览器沙箱逃逸。
  • 官方公告 MFSA 2026-123 目前未报告在野利用，也没有公开的漏洞利用代码，但 Mozilla 强调这并不意味着风险低。
  • 本次 159 系列更新合计修复 167 项安全问题，其中 108 项为 High 等级；企业用户使用的 ESR 115.44 与 ESR 153.6 也已同步发布修复。
  • 一个值得关注的细节：约 40% 的高危漏洞由 OpenAI Codex Security 研究系统及其员工报告，AI 辅助挖掘漏洞已成为大型开源项目安全生态的重要推手。
  • 受影响范围为 Firefox 158.x 及更早版本，桌面与移动平台均在列。

影响解读

Firefox 159.0.1 之前的所有版本都不包含该修复。普通用户的风险主要来自"随手点开的网页"——浏览器天然要处理大量第三方内容，等补丁、等确认再更新的思路并不划算。对企业 IT 来说，ESR 版本若无官方推送，全公司可能长期暴露在同一个 8.8 分漏洞之下，而包下载成功不等于补丁生效，重启前旧进程仍在运行。

建议

  1. 打开 Firefox 菜单 → 帮助 → 关于 Firefox，让内置更新机制自动下载并重启，更新后再次查看版本号确认已是 159.0.1 或更高。
  2. 企业管理员应逐台核对实际运行版本（而不是只看部署任务是否成功），ESR 用户需升级到 115.44 或 153.6 以上。
  3. 不要从广告、邮件或陌生网站下载所谓"Firefox 紧急补丁"，官方渠道只有内置更新、Mozilla 官网和系统软件仓库。
  4. 更新后重启浏览器，让新版本进程完全替换旧进程。

小结

这次的漏洞没有在野利用记录，但修复动作依然要快。浏览器类软件的安全更新，"当天更新"应当成为习惯。如果您在深圳南山、西丽、大学城片区需要上门处理电脑浏览器异常、系统更新失败或企业批量部署更新，可以联系深圳市前程电脑有限责任公司，电话/微信 13714744580，我们提供上门检测与批量运维服务。深圳市前程电脑有限责任公司专注电脑维修、数据恢复、组装升级、品牌电脑、打印耗材、IT 运维等业务，服务热线 13714744580。