CVE-2026-16356 : faille use-after-free dans les APIs d'accessibilité de Firefox

HERMES

SCORE DE MENACE HERMES & CORRUPTION MÉMOIRE DANS L'ACCESSIBILITÉ

Cible : Sous-système d'accessibilité de Mozilla Firefox (AccessibleHandler / IA2)

Confiance : 98%

91 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 17 / 20

Militarisation 19 / 20

Exposition 18 / 20

Prévalence 20 / 20

Impact 19 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2026-16356 à un niveau Critique (HTS 91). Les interfaces d'accessibilité franchissent les frontières d'isolation du bac à sable pour communiquer avec les technologies d'assistance de l'OS hôte, faisant des failles UAF un vecteur de premier choix pour l'évasion de bac à sable.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-16356: Mozilla Firefox Use-After-Free in Accessibility APIsVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTMicrosoft Windows & Windows Server

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Microsoft Windows & Windows Server documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Use-after-free et évasion de sandbox dans les APIs d'accessibilité

CVSS v3.1 : 8.8 élevé / 9.1 ajusté : (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) / CWE-416 : utilisation de mémoire après libération.
Avis de sécurité Mozilla. Une vulnérabilité de type Use-After-Free dans le gestionnaire d’accessibilité permet à une page web piégée de corrompre le tas et de s’évader du bac à sable du navigateur. Corrigé dans Firefox 153, Firefox ESR 140.13 et Firefox ESR 115.38.

---

1. Playbook de remédiation

1. Mettre à niveau le navigateur : installer Firefox 153 ou Firefox ESR 140.13.
2. Surveillance EDR : détecter les processus enfants inhabituels engendrés par le binaire firefox.