Mozilla publica Firefox ESR 115.44 con varias correcciones de seguridad de alto impacto

Mozilla anunció Firefox ESR 115.44 el 27 de octubre mediante el boletín MFSA 2026-119. El aviso enumera varias vulnerabilidades que afectan la versión de soporte extendido y las califica de alto impacto. Entre ellas hay problemas de límites en Networking, uso después de liberar memoria y acceso a memoria no inicializada en componentes de audio, video, gráficos y maquetación.

Los boletines de Mozilla describen fallas específicas, no un único defecto genérico. Algunas podrían permitir escapar del sandbox o elevar privilegios; otras exponen información o afectan estabilidad. La actualización se dirige a Firefox ESR, una edición que prioriza estabilidad para organizaciones y usuarios que mantienen ciclos de despliegue más controlados que la versión rápida del navegador.

El navegador procesa contenido remoto complejo y se ejecuta en estaciones de trabajo que a menudo acceden a correo, servicios empresariales y datos internos. Una falla de sandbox o memoria puede convertir una navegación habitual en un punto de entrada, aunque el boletín no afirme que estos CVE se estén explotando activamente. El nivel de riesgo depende de la versión y de los mecanismos de aislamiento del sistema.

La separación de procesos reduce ciertos impactos, pero no vuelve innecesarios los parches. Los equipos que administran entornos corporativos deben incluir navegadores ESR en el mismo inventario y proceso de distribución que otros componentes expuestos a contenido externo. El uso de una versión de soporte extendido no significa que se pueda omitir la actualización de seguridad cuando Mozilla la publica.

La corrección indicada es Firefox ESR 115.44. Los administradores deben confirmar la versión en sus equipos y utilizar los canales oficiales de actualización o distribución empresarial. En despliegues administrados, conviene desplegar el cambio por grupos, comprobar políticas y extensiones, y verificar los dispositivos que permanecen desconectados o fuera del sistema de gestión.

Si la actualización no puede instalarse de inmediato, los controles provisionales incluyen limitar navegación de alto riesgo en equipos sensibles, mantener actualizadas las protecciones de endpoint y reducir privilegios locales. Estas medidas no corrigen el navegador y no deben considerarse sustituto de la versión corregida. En situaciones con equipos expuestos a Internet, la corrección debe tener prioridad sobre cambios menores de configuración.

Mozilla señala que modificó su práctica de publicación y ahora asigna una asesoría a cada error de seguridad identificado internamente, en lugar de agrupar las fallas de seguridad de memoria en un único CVE. Esto puede aumentar el número de identificadores y mejorar el seguimiento individual, pero también exige que los equipos de vulnerabilidades procesen más registros.

La nueva granularidad facilita correlacionar informes, versiones y componentes. Las organizaciones deberían evitar filtrar alertas solo por la cantidad de CVE o agruparlos sin conservar las referencias originales. Para priorizar, se deben combinar el impacto, el vector, la exposición del navegador y la disponibilidad de parche, además de cualquier evidencia posterior de explotación.

El aviso oficial informa seis CVE en la selección consultada y recomienda Firefox ESR 115.44. La lista de seguridad de Mozilla puede incluir avisos relacionados en páginas separadas y actualizaciones de versiones distintas. Esta nota se refiere a ESR y no atribuye los mismos efectos a todas las versiones del navegador.

No se identifican víctimas ni explotación en campo en la asesoría citada. La organización debe consultar el boletín completo y sus referencias antes de determinar aplicabilidad de cada CVE en su entorno. La acción concreta para usuarios ESR es confirmar que la versión 115.44 esté instalada y mantener habilitado el proceso regular de actualizaciones del navegador.