CVE-2026-75874 : évasion critique de bac à sable dans mozilla Firefox (CVSS 10.0)

HERMES

SCORE DE MENACE HERMES & ÉVASION CRITIQUE DE BAC À SABLE

Cible : Composant Remote Settings Client de Mozilla Firefox / Thunderbird

Confiance : 99%

100 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 20 / 20

Militarisation 20 / 20

Exposition 20 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Hermes attribue le score maximal d'alerte (HTS 100 / CRITIQUE) à la CVE-2026-75874. Une évasion de bac à sable notée CVSS 10.0 sur un navigateur web permet à un attaquant distant d'exécuter du code arbitraire sur le système d'exploitation hôte avec les privilèges de l'utilisateur connecté, sans interaction requise.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-75874: Mozilla Firefox Critical Sandbox Escape via Remote Settings ClientVULNÉRABILITÉ

Nœuds connectés : 0

Évasion critique de bac à sable (CVSS 10.0)

CVSS v3.1 : 10.0 critique : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) / CWE-693 : défaillance du mécanisme de protection.
Avis de sécurité d’urgence Mozilla. Une vulnérabilité dans le client Remote Settings permet à un attaquant non authentifié de s’évader de l’architecture multi-processus de bac à sable du navigateur et d’exécuter des commandes natives sur le système hôte. Corrigé dans Firefox 154, Firefox ESR 140.14 et Thunderbird 154.

Synthèse exécutive

Mozilla a diffusé un bulletin d’urgence concernant la CVE-2026-75874, une faille gravissime logée dans le sous-système de synchronisation Remote Settings.

Firefox emploie Remote Settings pour diffuser les mises à jour de configuration et listes de blocage. Un défaut de désérialisation IPC permettait à du contenu web malveillant d’injecter des données forgées vers le processus parent non confiné, entraînant l’exécution de code binaire en dehors de la sandbox.

---

1. Métadonnées & surface d’attaque

Métrique	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-75874	Identifiant normalisé de la vulnérabilité
Éditeur / logiciel	Mozilla / Firefox & Thunderbird	Navigateur web et messagerie
Versions affectées	Firefox < 154, Firefox ESR < 140.14	Parc mondial de postes de travail
Versions corrigées	Firefox 154, Firefox ESR 140.14, TB 154	Mise à niveau impérative
CWE associée	CWE-693 : Rupture de protection	Évasion totale du confinement
Privilèges obtenus	Exécution sur l’OS hôte (compte utilisateur)	Déploiement de malwares, vol de données

---

2. Playbook de remédiation & déploiement

1. Mettre à jour Firefox immédiatement : déployer Firefox 154 ou Firefox ESR 140.14 sur l’ensemble du parc d’entreprise.
2. Forcer la mise à jour via GPO : appliquer une politique de groupe désactivant le report des mises à jour logicielles.