Swann GeorgesLe CERT-FR a publié le 12 novembre 2026 l'avis CERTFR-2026-AVI-1505 sur de multiples vulnérabilités dans les produits Mozilla. Sont concernés Firefox avant la version 160, Firefox ESR avant la 153.7 et Thunderbird avant la 160. Mozilla a diffusé ses correctifs le 10 novembre 2026.
Quelles versions sont touchées, et quel est le risque ?
L'avis recense 111 identifiants CVE, de CVE-2026-109736 à CVE-2026-126136, répartis dans cinq bulletins de Mozilla numérotés MFSA 2026-125 à 2026-129. Le CERT-FR liste cinq conséquences possibles : atteinte à la confidentialité des données, contournement de la politique de sécurité, exécution de code arbitraire, élévation de privilèges et impact non spécifié.
Le bulletin MFSA 2026-125, consacré à Firefox 160, classe le niveau d'impact le plus élevé à « high ». Les défauts les plus fréquents y sont des « use-after-free », des erreurs de gestion mémoire qui permettent parfois d'exécuter du code. Le bulletin mentionne aussi une évasion du bac à sable, un contournement de la politique de même origine et un défaut dans le composant réseau JAR.
L'avis du CERT-FR ne détaille pas les correctifs version par version. Il renvoie aux bulletins de l'éditeur, et les seuils « avant 160 » et « avant 153.7 » indiquent les versions à atteindre.
Pourquoi un navigateur à jour change-t-il quelque chose pour vous ?
Un navigateur ouvre chaque jour des pages écrites par des inconnus : publicités, pièces jointes, liens reçus par courriel. Une faille d'exécution de code dans ce navigateur transforme une simple visite en point d'entrée vers le poste, puis vers le reste du réseau.
Thunderbird est dans l'avis pour la même raison. Un client de messagerie affiche du contenu HTML et ouvre des pièces jointes, donc il partage une partie du moteur de rendu de Firefox.
Les failles de novembre ne se limitent pas aux navigateurs. Nous avons déjà détaillé les failles Windows de novembre 2026 et la méthode pour vérifier le numéro de build. Le réflexe est le même : relever la version installée, la comparer au seuil publié, puis mettre à jour.
Comment vérifier votre version de Firefox et de Thunderbird ?
Dans Firefox, ouvrez le menu, puis « Aide », puis « À propos de Firefox ». La fenêtre affiche la version et lance la recherche de mise à jour. Si elle indique 160 ou plus, vous êtes couvert pour cet avis. Sur la branche ESR, le seuil est 153.7.
Dans Thunderbird, le chemin est « Aide » puis « À propos de Thunderbird ». Le seuil est 160. Un redémarrage est nécessaire après le téléchargement du correctif, et c'est souvent l'étape oubliée : la mise à jour est installée, mais l'ancienne version tourne encore en mémoire.
Sous Linux, la mise à jour passe en général par le gestionnaire de paquets de la distribution. Les paquets de la distribution peuvent suivre quelques jours après la publication de Mozilla. Vérifiez alors le numéro de version plutôt que de supposer que le correctif est là.
Cas concret : un cabinet de 12 postes sous Firefox ESR
Prenons un cabinet comptable de 12 postes, déployé sous Firefox ESR et Thunderbird. Le prestataire informatique gère les mises à jour une fois par mois, le premier lundi, soit le 7 décembre 2026. Le correctif est sorti le 10 novembre, ce qui laisse 27 jours d'exposition si personne n'intervient.
Si les 12 postes sont sur ESR 153.6 ou une version plus ancienne, les 12 sont concernés par l'avis, puisque le seuil est 153.7. Si 4 postes ont déjà reçu la 153.7 par mise à jour automatique, il en reste 8 à traiter, avec un test de compatibilité sur le logiciel métier ouvert dans le navigateur.
Si le cabinet attend le 7 décembre, il laisse pendant près de quatre semaines huit postes qui manipulent des fichiers clients, des relevés bancaires et des identifiants d'accès aux impôts. Une compromission de l'un d'eux exposerait ces données, et le cabinet devrait alors apprécier une notification à la CNIL dans les 72 heures qui suivent la prise de connaissance de la violation, délai prévu par le RGPD.
Si le prestataire avance le déploiement à cette semaine, l'exposition tombe à quelques jours. Le coût est une heure de test et un redémarrage par poste.
Firefox, Firefox ESR, Thunderbird : quelle branche suivre ?
Mozilla publie deux branches pour son navigateur. La version standard reçoit les nouveautés et les correctifs au rythme des versions numérotées, d'où le seuil 160. La branche ESR, pour Extended Support Release, est destinée aux organisations qui veulent une base plus stable. Elle reçoit les correctifs de sécurité sous une numérotation distincte, d'où le seuil 153.7.
Cette différence piège souvent les parcs informatiques. Un administrateur qui lit « avant 160 » sur un poste en ESR 153.5 peut croire que sa version est trop ancienne pour être concernée, ou qu'il doit changer de branche. La lecture correcte est inverse : il suffit de passer de la 153.5 à la 153.7 sur la branche ESR, sans migrer vers la 160.
Pour Thunderbird, l'avis ne mentionne qu'un seuil, la version 160. Si votre client de messagerie est plus ancien, la mise à jour passe par le menu d'aide ou par le canal de votre distribution.
Les erreurs les plus courantes après un avis du CERT-FR
Trois erreurs reviennent quand un avis de ce type est publié. La première consiste à mettre à jour le navigateur et à oublier le client de messagerie, alors que les deux sont dans le même avis. La deuxième est de laisser la fenêtre ouverte pendant des jours : le correctif téléchargé ne s'applique qu'au redémarrage. La troisième est de ne contrôler qu'un poste sur le parc, en supposant que les autres ont suivi.
Les extensions méritent aussi un contrôle. Elles s'exécutent dans le navigateur avec des droits étendus sur les pages visitées. Une extension abandonnée par son auteur ne reçoit plus de correctifs, et elle reste en place après la mise à jour du navigateur. Supprimer celles que vous n'utilisez plus réduit la surface d'attaque pour un coût nul.
Quand faire appel à un spécialiste ?
Un utilisateur seul met à jour son navigateur en deux minutes. Les structures de plusieurs postes ont besoin d'un inventaire : quelles versions tournent, sur quelles machines, avec quelles extensions et quels logiciels métiers dépendants du navigateur.
Un informaticien ou un prestataire de sécurité peut mettre en place une politique de mise à jour centralisée, tester le déploiement sur un poste pilote et documenter le délai entre la publication d'un correctif et son installation. Ce délai compte lors d'un audit ou après un incident.
Faites aussi appel à un expert si un poste présente des signes inhabituels après une période sans mise à jour : redirections, extensions inconnues, fenêtres publicitaires, ralentissements, connexions refusées sur des comptes en ligne. Dans ce cas, changer les mots de passe depuis un autre appareil est une priorité, avant même la mise à jour.
Les étapes à suivre cette semaine
- Relevez la version de Firefox et de Thunderbird sur chaque poste : 160 minimum, ou 153.7 minimum pour Firefox ESR.
- Lancez la mise à jour et redémarrez l'application.
- Dans une entreprise, testez d'abord sur un poste pilote si un logiciel métier passe par le navigateur.
- Vérifiez les extensions installées et supprimez celles que vous n'utilisez plus.
- Activez les mises à jour automatiques, ou demandez à votre prestataire de ramener le délai de déploiement à moins d'une semaine.
Si vous gérez un parc informatique ou si un poste vous semble compromis, un informaticien référencé sur ExpertZoom peut réaliser l'inventaire des versions, déployer les correctifs et vérifier qu'aucun accès suspect n'a eu lieu.
Source : avis CERTFR-2026-AVI-1505 du CERT-FR
