Firefox 155 ist seit dem 1. September 2026 verfügbar und beseitigt eine ungewöhnlich große Serie sicherheitsrelevanter Schwachstellen, wie die Redaktion von Techify.de. Mozillas Sicherheitsbulletin MFSA 2026-82 führt 29 CVE-Einträge auf: darunter zwei ausdrücklich als Sandbox-Escape bezeichnete Lücken, mehrere Möglichkeiten zur Rechteausweitung sowie zahlreiche Use-after-free-Fehler in JavaScript, DOM, Audio/Video, WebGPU und weiteren Browser-Komponenten. Mozilla bewertet das gesamte Update mit der Auswirkungsstufe „high“.
Für Nutzer ist deshalb nicht entscheidend, ob Firefox das Update irgendwann heruntergeladen hat, sondern ob Firefox 155 tatsächlich installiert und nach dem Update neu gestartet wurde. Unter Windows und macOS lässt sich das direkt über „Hilfe → Über Firefox“ kontrollieren; das Öffnen dieses Fensters startet gleichzeitig die Update-Prüfung. Unter Linux kann dagegen der Paketmanager der Distribution für die Aktualisierung zuständig sein.
Firefox 155 behebt 29 dokumentierte Sicherheitsprobleme
Mozilla veröffentlichte das Sicherheitsbulletin für Firefox 155 am 1. September. Von den dort aufgeführten 29 CVE-Einträgen sind 13 mit „high“, sieben mit „moderate“ und neun mit „low“ eingestuft. Besonders relevant sind CVE-2026-84119 und CVE-2026-84121, weil Mozilla beide ausdrücklich als Sandbox-Escape beschreibt. Hinzu kommen mehrere Schwachstellen, über die Prozesse zusätzliche Rechte erlangen könnten. Andere Fehler betreffen Speicherverwaltung, Site Isolation, WebExtensions, HTTP, WebGPU, PDF-Anzeige und Navigation.
Die hohe Zahl allein sagt allerdings noch nichts darüber aus, ob jede Schwachstelle bei jedem Nutzer praktisch ausnutzbar wäre. Betriebssystem, Browser-Konfiguration, aufgerufener Inhalt und die konkrete Angriffskette spielen dabei eine Rolle. Für die Update-Entscheidung ist diese Differenzierung jedoch zweitrangig: Die entsprechenden Fehler befinden sich in älteren Firefox-Versionen, während Mozilla sie für Firefox 155 als behoben ausweist.
Die wichtigsten Gruppen im Überblick:
| Bereich | Beispiele aus Firefox 155 | Einstufung |
|---|---|---|
| Sandbox | CVE-2026-84119, CVE-2026-84121 | High |
| Rechteausweitung | CVE-2026-84117, CVE-2026-84123 | High |
| Speicherfehler | JavaScript GC, Audio/Video, DOM | überwiegend High |
| Site Isolation | Navigation, Push Subscriptions | Moderate/Low |
| Informationsabfluss | WebExtensions, WebGPU, HTTP | Moderate |
| Browseroberfläche | Spoofing, Clickjacking | Low |
| PDF Viewer | Denial-of-Service | Low |
| Grafik | Invalid Pointer, Integer Overflow | Moderate/Low |
Die beiden Sandbox-Probleme basieren laut Mozilla jeweils auf Use-after-free-Fehlern. CVE-2026-84119 befindet sich in der DOM-Navigation, CVE-2026-84121 im Bereich DOM Security. Beide wurden als „high“ eingestuft.
„Sandbox escape due to use-after-free in the DOM: Navigation component.“
(Mozilla Foundation Security Advisory 2026-82, 1. September 2026)
Warum Sandbox-Escapes besonders relevant sind
Moderne Browser trennen Webinhalte in voneinander isolierte Prozesse und beschränken deren Rechte. Diese Sandbox soll verhindern, dass ein Fehler in der Verarbeitung einer Webseite automatisch Zugriff auf weiterreichende Systemfunktionen ermöglicht.
Ein Sandbox-Escape kann diese Sicherheitsgrenze unter bestimmten Bedingungen überwinden. In realen Angriffen werden solche Schwachstellen häufig nicht isoliert betrachtet, sondern als Bestandteil einer mehrstufigen Angriffskette: Zunächst wird beispielsweise ein Fehler innerhalb eines Content-Prozesses ausgenutzt, anschließend eine zweite Schwachstelle verwendet, um die Sandbox zu verlassen.
Mozilla veröffentlicht im Advisory keine Behauptung, dass sämtliche in Firefox 155 geschlossenen Fehler bereits aktiv in großem Maßstab ausgenutzt worden seien. Deshalb wäre es falsch, aus dem Sicherheitsbulletin automatisch auf laufende Angriffe gegen alle Firefox-Nutzer zu schließen.
Das Risiko eines nicht aktualisierten Browsers bleibt trotzdem konkret: Der veröffentlichte Patch dokumentiert gleichzeitig, welche älteren Versionen die entsprechenden Fehler noch enthalten.
So prüfen Sie, ob Firefox 155 bereits installiert ist
Die zuverlässigste Kontrolle dauert unter Windows und macOS nur wenige Sekunden. Mozilla beschreibt dafür direkt den Weg über das Informationsfenster des Browsers. Dort wird nicht nur die installierte Versionsnummer angezeigt, sondern gleichzeitig nach verfügbaren Aktualisierungen gesucht.
Gehen Sie so vor:
- Firefox öffnen.
- Rechts oben das Menü öffnen.
- „Hilfe“ auswählen.
- „Über Firefox“ öffnen.
- Versionsnummer kontrollieren.
- Falls ein Update geladen wird, warten, bis es vollständig heruntergeladen wurde.
- Firefox anschließend neu starten.
Für die aktuell stabile Ausgabe muss dort Firefox 155 beziehungsweise eine neuere stabile Version stehen. Da Firefox 155 am 1. September 2026 veröffentlicht wurde, ist eine Installation von Firefox 154 oder älter hinsichtlich der mit MFSA 2026-82 behobenen Probleme nicht auf dem aktuellen Patch-Stand.
Mozilla weist zusätzlich darauf hin, dass ein Update bereits im Hintergrund heruntergeladen worden sein kann, aber erst nach dem Neustart des Browsers angewendet wird. Ein geöffnetes Firefox-Fenster, das seit Tagen nicht neu gestartet wurde, kann deshalb trotz heruntergeladenem Paket weiterhin mit dem alten Browser-Prozess arbeiten.
„Updates are applied after restarting Firefox.“
(Mozilla Support, Anleitung „Update Firefox“, aktueller Support-Eintrag)
Alternativ kann about:support in die Adresszeile eingegeben werden. Unter „Application Basics“ beziehungsweise „Allgemeine Informationen“ erscheint ebenfalls die installierte Firefox-Version. Mozilla nennt diesen Weg ausdrücklich als zweite Möglichkeit zur Versionskontrolle.
Unter Linux funktioniert die Aktualisierung teilweise anders
Bei Linux muss zwischen einer direkt von Mozilla installierten Firefox-Version und Paketen aus den Softwarequellen einer Distribution unterschieden werden. Wird Firefox über den Paketmanager der Linux-Distribution verwaltet, kommen Aktualisierungen normalerweise über die Systemverwaltung und nicht zwingend über das Firefox-Fenster selbst.
Deshalb sollte hier zusätzlich geprüft werden:
- welche Firefox-Version tatsächlich installiert ist;
- aus welcher Paketquelle Firefox stammt;
- ob Systemupdates ausstehen;
- ob der Browser nach dem Update neu gestartet wurde.
Nur die Meldung „System ist aktuell“ reicht nicht aus, wenn beispielsweise zusätzliche Paketquellen verwendet werden oder Firefox unabhängig vom Distributionspaket installiert wurde.
Diese Sicherheitslücken sind in Firefox 155 besonders relevant
Neben den beiden Sandbox-Escapes enthält die Version mehrere Fehler, die Mozilla der Kategorie Rechteausweitung zuordnet. CVE-2026-84117 betrifft Firefox für Android. CVE-2026-84123 befindet sich im WebGPU-Bereich und basiert ebenfalls auf einem Use-after-free-Problem. CVE-2026-84128 betrifft WebDriver BiDi und ist mit „moderate“ eingestuft. CVE-2026-84131 beschreibt eine Rechteausweitung aufgrund eines ungültigen Zeigers in einer Grafikkomponente.
Mehrere weitere „high“-Lücken entstehen durch Speicherfehler. Dazu zählen CVE-2026-84118 im JavaScript-Garbage-Collector, CVE-2026-84120 und CVE-2026-84122 im Audio/Video-Bereich sowie CVE-2026-84124 und CVE-2026-84125 in DOM Core & HTML. Fehler dieser Klasse entstehen, wenn Software auf Speicher zugreift, nachdem das zugehörige Objekt bereits freigegeben wurde.
Mozilla dokumentiert daneben Sicherheitsprobleme in weniger offensichtlichen Bereichen:
- CVE-2026-84127: Informationsabfluss über WebExtensions unter Firefox für Android;
- CVE-2026-84129: Site-Isolation-Problem in DOM Navigation;
- CVE-2026-84130: Informationsabfluss über WebGPU;
- CVE-2026-84132: Informationsabfluss im HTTP-Netzwerkbereich;
- CVE-2026-84137: Spoofing in DOM Core & HTML;
- CVE-2026-84138: Denial-of-Service im PDF Viewer;
- CVE-2026-84139: Clickjacking im DOM-Events-Bereich;
- CVE-2026-84140: weiteres Site-Isolation-Problem in DOM Navigation.
Hinzu kommen mehrere Sammel-CVEs für intern gefundene Sicherheitsfehler. Mozilla erklärt bei diesen Einträgen, dass einige Fehler Hinweise auf Speicherbeschädigung oder andere sicherheitsrelevante Defekte zeigten und mit genügend Aufwand möglicherweise ausnutzbar gewesen wären.
„Some of these bugs showed evidence of memory corruption or another security-relevant defect.“
(Mozilla Security Advisory MFSA 2026-82, interne Firefox-Fehler)
Erweiterungen nach dem Firefox-Update ebenfalls kontrollieren
Ein aktueller Browser behebt Sicherheitslücken im Firefox-Code, macht aber installierte Erweiterungen nicht automatisch vertrauenswürdig. Add-ons besitzen eigene Berechtigungen und können abhängig von ihrer Konfiguration umfangreichen Zugriff auf besuchte Webseiten erhalten.
Besonders aufmerksam sollten Nutzer werden, wenn eine Erweiterung nach einem Update plötzlich zusätzliche Rechte anfordert. Ein Add-on mit Zugriff auf alle Webseiten kann technisch erheblich mehr Inhalte erreichen als eine Erweiterung, die nur auf einer einzelnen Domain arbeitet.
Eine ausführliche Erklärung dazu bietet der Beitrag über [Browser-Erweiterungen, die plötzlich Zugriff auf alle Webseiten verlangen] Browser-Erweiterung fordert neue Rechte: Zugriff auf alle Websites erklärt. Dort wird beschrieben, welche Host-Berechtigungen Chrome und Firefox verwenden und warum Nutzer neue Rechteanforderungen nicht ungeprüft bestätigen sollten.
Nach dem Firefox-155-Update empfiehlt sich daher zusätzlich:
- nicht mehr benötigte Erweiterungen entfernen;
- neue Berechtigungsanforderungen prüfen;
- Add-ons nur aus nachvollziehbaren Quellen installieren;
- Erweiterungen mit Zugriff auf sämtliche Websites besonders kritisch kontrollieren;
- Erweiterungen deaktivieren, deren Zweck oder Herausgeber nicht mehr eindeutig nachvollziehbar ist.
Das Firefox-Update und die Kontrolle von Add-ons lösen zwei unterschiedliche Sicherheitsprobleme. Der Browser-Patch schließt Fehler in Firefox selbst; die Berechtigungen einer Erweiterung bestimmen dagegen, auf welche Inhalte ein zusätzlich installiertes Programm zugreifen darf.
Gespeicherte Passwörter werden durch Firefox 155 nicht automatisch geändert
Die Installation von Firefox 155 ersetzt keine möglicherweise kompromittierten Passwörter. Wurden Zugangsdaten bereits vorher durch Phishing, Infostealer oder einen kompromittierten Dienst abgegriffen, bleiben diese Daten auch nach einem Browser-Update gültig, bis der Nutzer oder der jeweilige Dienst sie ändert.
Deshalb sollte ein Sicherheitsupdate nicht mit einer vollständigen Kontobereinigung verwechselt werden. Wer Hinweise auf kompromittierte Zugangsdaten erhält, muss zusätzlich die betroffenen Konten überprüfen.
Dazu passt der Leitfaden zum Thema [gestohlene Passwörter im Browser prüfen] Gestohlene Passwörter prüfen: Was Nutzer nach der BSI-Aktion tun sollten. Er erklärt, warum die Abschaltung einer kriminellen Infrastruktur bereits entwendete Kennwörter nicht automatisch ungültig macht und wann Passwortwechsel, Zwei-Faktor-Authentifizierung oder Passkeys notwendig werden.
Für Nutzer ergibt sich daraus eine klare Reihenfolge:
- Firefox aktualisieren.
- Browser neu starten.
- Versionsnummer prüfen.
- Erweiterungen kontrollieren.
- Sicherheitswarnungen zu Konten ernst nehmen.
- Kompromittierte Passwörter ändern.
- Wo möglich 2FA oder Passkeys aktivieren.
Gefälschte Browser-Warnungen bleiben trotz Firefox 155 ein Risiko
Firefox 155 schützt nicht davor, dass Nutzer auf betrügerischen Webseiten selbst Telefonnummern anrufen, Passwörter eingeben oder Fernwartungssoftware installieren. Technische Browser-Sicherheit und Social Engineering sind zwei getrennte Angriffsebenen.
Ein typisches Beispiel sind Webseiten, die eine angebliche Windows-Sperre simulieren. Sie können Vollbilddarstellungen, Pop-ups oder Warntöne verwenden und dadurch den Eindruck erzeugen, die Meldung stamme direkt vom Betriebssystem.
Der Beitrag zur [Fake-Microsoft-Warnung „Ihr Computer ist gesperrt“] Fake-Microsoft-Warnung: „Ihr Computer ist gesperrt“ – so reagieren Sie richtig zeigt, wie solche Support-Scams erkannt werden können. Microsoft weist darauf hin, dass legitime Fehler- und Warnmeldungen des Unternehmens keine Telefonnummer enthalten, die Nutzer für technischen Support anrufen sollen.
Die wichtigste Trennung lautet daher:
| Situation | Was Firefox 155 löst | Was Nutzer selbst tun müssen |
|---|---|---|
| Browser-Sicherheitslücke | Patch kann den Fehler schließen | Update installieren |
| Update heruntergeladen | allein noch nicht vollständig aktiv | Browser neu starten |
| Schädliche Erweiterung | nicht automatisch entfernt | Add-ons kontrollieren |
| Gestohlenes Passwort | wird nicht ersetzt | Passwort ändern |
| Phishing-Seite | Browser kann nicht jede Täuschung verhindern | keine Daten eingeben |
| Fake-Support-Warnung | technische Schutzmechanismen helfen nur teilweise | Seite schließen, nicht anrufen |
Firefox 155 startet neuen Zwei-Wochen-Rhythmus
Firefox 155 besitzt noch eine zweite Bedeutung: Die Version markiert den Einstieg in Mozillas neuen Veröffentlichungsrhythmus. Firefox erscheint künftig grundsätzlich in einem Zwei-Wochen-Zyklus statt im bisherigen Vier-Wochen-Takt. Mozilla begründet die Änderung damit, fertige Fehlerbehebungen und Funktionen schneller ausliefern und die Release-Planung berechenbarer machen zu wollen.
Firefox 155 wurde deshalb bereits am 1. September veröffentlicht und nicht erst am ursprünglich vorgesehenen 15. September. Der verkürzte Zyklus bedeutet laut Mozilla nicht automatisch doppelt so viele neue Funktionen. Vielmehr sollen fertige Änderungen schneller in stabile Versionen gelangen.
„We’ll be releasing updates more frequently, using a two-week rhythm.“
(Mozilla Support Blog, 19. August 2026)
Für Nutzer wird dadurch die automatische Update-Funktion noch relevanter. Wer Aktualisierungen über längere Zeit aufschiebt, kann künftig schneller mehrere stabile Hauptversionen hinter dem aktuellen Stand liegen.
Für Unternehmen kommt hinzu, dass Firefox 155 Änderungen an administrativen Richtlinien enthält. Unter Windows steht beispielsweise die neue Policy DisableLaunchOnLogin zur Verfügung. Außerdem erhielt SitePolicies eine HttpsOnly-Option, mit der bestimmte Seiten daran gehindert werden können, über unverschlüsseltes HTTP geladen zu werden.
Wann Firefox 155 wirklich als installiert gelten kann
Eine sichere Kontrolle besteht aus mehr als dem Blick auf eine Benachrichtigung über ein heruntergeladenes Update.
Firefox 155 ist auf einem Rechner praktisch dann aktiv, wenn:
- die Versionsanzeige Firefox 155 oder neuer meldet;
- keine weitere Aktualisierung aussteht;
- ein erforderlicher Neustart durchgeführt wurde;
- unter Linux gegebenenfalls der Paketmanager aktualisiert wurde;
- der laufende Browserprozess nach dem Update neu gestartet wurde.
Wer lediglich eine Meldung gesehen hat, dass ein Update heruntergeladen wurde, sollte daraus noch nicht schließen, dass die korrigierte Version bereits läuft. Mozilla erklärt ausdrücklich, dass Aktualisierungen nach einem Neustart angewendet werden.
Bei verwalteten Firmenrechnern kann zusätzlich eine zentrale Update-Richtlinie relevant sein. Administratoren sollten deshalb nicht allein die vorhandene Installationsdatei oder ein Softwareverteilungsprotokoll kontrollieren, sondern die tatsächlich gestartete Firefox-Version auf den Endgeräten.
Häufige Fragen zu Firefox 155
Ist Firefox 155 ein Sicherheitsupdate?
Ja. Mozilla veröffentlichte für Firefox 155 das Security Advisory MFSA 2026-82 mit insgesamt 29 CVE-Einträgen. Das Bulletin trägt insgesamt die Einstufung „high“.
Welche gefährlichen Lücken behebt Firefox 155?
Zu den auffälligsten Problemen zählen die Sandbox-Escapes CVE-2026-84119 und CVE-2026-84121 sowie mehrere Use-after-free- und Privilege-Escalation-Schwachstellen. Daneben wurden Site-Isolation-, Informationsabfluss-, Clickjacking-, Spoofing- und weitere Fehler geschlossen.
Wie sehe ich, welche Firefox-Version installiert ist?
Öffnen Sie „Hilfe → Über Firefox“. Dort wird die Versionsnummer angezeigt und gleichzeitig nach Updates gesucht. Alternativ kann about:support aufgerufen werden.
Reicht es, wenn Firefox das Update bereits heruntergeladen hat?
Nicht immer. Mozilla weist darauf hin, dass heruntergeladene Updates nach einem Neustart des Browsers angewendet werden.
Muss Firefox unter Linux anders aktualisiert werden?
Das hängt von der Installation ab. Wird Firefox über den Paketmanager einer Linux-Distribution verwaltet, werden Updates normalerweise über die System-Paketverwaltung geliefert.
Macht Firefox 155 meine Erweiterungen automatisch sicher?
Nein. Das Update behebt Sicherheitsprobleme im Browser, ändert aber nicht automatisch die Vertrauenswürdigkeit oder Berechtigungen installierter Add-ons. Erweiterungen sollten deshalb separat überprüft werden.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Google „Bevorzugte Quellen“: So erscheinen Ihre Lieblingsseiten häufiger in der Suche und in Top Stories
