Mozilla déclenche une mise à jour de sécurité hors cycle pour Firefox. En cause, une vulnérabilité critique dans le décodage vidéo, exploitable à distance via du contenu web piégé.
Mozilla a publié Firefox 147.0.4 pour corriger une vulnérabilité de dépassement de tampon dans le tas, CVE-2026-2447, qui touche la bibliothèque vidéo libvpx utilisée pour VP8 et VP9. La faille, signalée par le chercheur jayjayjazz, est classée « élevée » et a motivé un déploiement coordonné sur plusieurs branches, dont Firefox ESR 140.7.1 et Firefox ESR 115.32.1. Les versions antérieures à ces correctifs sont considérées vulnérables. Le scénario d’attaque décrit repose sur un média ou une page web conçus pour déclencher une corruption mémoire, avec un risque allant du crash à l’exécution de code. Aucun score CVSS n’était communiqué lors de la divulgation.
Une correction hors cycle qui trahit l’urgence
Le détail qui compte, pour les équipes cyber comme pour les utilisateurs, n’est pas seulement la présence d’une CVE. C’est le rythme. Mozilla a choisi une publication hors cycle, donc en dehors du calendrier habituel, pour livrer Firefox 147.0.4. Ce type de décision est rarement confortable, car il bouscule les procédures de validation, les fenêtres de maintenance et les cycles de déploiement en entreprise. S’il arrive, c’est qu’un risque immédiat est jugé crédible.
La confusion observée dans certaines discussions autour de « Firefox v147 » illustre un piège classique côté défense. Ce n’est pas « 147 » qui protège, c’est 147.0.4. La nuance paraît minime à l’écran, mais elle change tout dans un inventaire de parc, un outil de conformité ou une campagne de remédiation. Dans un environnement géré, une version majeure peut être autorisée tandis qu’un correctif mineur reste en attente, et c’est précisément dans cet interstice que se glissent les attaques opportunistes.
Mozilla n’a pas limité l’effort au canal grand public. En parallèle, l’éditeur a déployé des correctifs sur les branches ESR, Firefox ESR 140.7.1 et Firefox ESR 115.32.1. Cette synchronisation est un signal à destination des RSSI et des équipes SOC : l’exposition ne concerne pas un segment marginal, mais aussi les postes réputés « stabilisés », souvent présents dans les administrations et les entreprises. Or, l’ESR est fréquemment choisi pour réduire les changements fonctionnels, pas pour accepter un retard de correctifs sécurité. Quand une faille est classée « élevée » et patchée partout, la fenêtre de risque devient autant organisationnelle que technique.
CVE-2026-2447, quand la vidéo devient un vecteur d’attaque
La vulnérabilité CVE-2026-2447 est décrite comme un dépassement de tampon dans le tas, un heap overflow, au sein de libvpx, bibliothèque mobilisée par Firefox pour traiter VP8 et VP9. Ces formats étant largement utilisés sur le web, la surface d’attaque est mécaniquement large. Là où certains bogues exigent une action volontaire, un import de fichier ou une option activée, le décodage vidéo s’insère dans une navigation ordinaire, souvent automatique, parfois en arrière-plan.
Techniquement, un dépassement de tampon dans le tas survient lorsqu’un programme écrit au-delà de la mémoire qui lui a été allouée dynamiquement. Le résultat n’est pas seulement un plantage. En écrasant des zones adjacentes, l’erreur peut ouvrir la porte à une corruption mémoire contrôlée, et donc, dans les scénarios les plus graves, à l’exécution de code arbitraire. Dans le contexte d’un navigateur, cela signifie qu’un contenu vidéo spécialement conçu, ou un flux multimédia intégré à une page, peut devenir une charge utile. L’attaque n’a alors plus besoin d’un exécutable téléchargé : la page fait le travail.
Le texte de contexte le souligne, il suffirait à une victime de consulter un site compromis ou malveillant, ou d’ouvrir une vidéo truquée, pour déclencher la condition de dépassement. C’est le modèle typique du téléchargement furtif, où l’arme se confond avec la consommation normale du web. Et c’est aussi, du point de vue du renseignement sur la menace, le type de faille qui intéresse des acteurs patients : une primitive de corruption mémoire dans une chaîne multimédia est un point d’entrée discret, compatible avec des scénarios d’hameçonnage ciblé comme avec des campagnes plus larges.
À la divulgation, aucune exploitation à grande échelle n’était confirmée. Cette absence de signal ne doit toutefois pas être interprétée comme une absence de risque. Les failles de corruption mémoire sont régulièrement privilégiées parce qu’elles peuvent, une fois maîtrisées, fournir des résultats fiables. L’équation est connue des défenseurs : dès qu’un correctif est public, les acteurs malveillants peuvent comparer les changements et accélérer l’industrialisation de tentatives d’exploitation. L’enjeu, ici, est donc la vitesse de patch, et la qualité de l’inventaire.
Mozilla indique que les versions de Firefox antérieures à 147.0.4 sont vulnérables, que les ESR antérieures à 140.7.1 et 115.32.1 le sont aussi, et recommande une mise à jour immédiate. La voie la plus directe passe par le mécanisme interne, Aide puis À propos de Firefox, qui déclenche la recherche et l’installation. Pour les environnements ESR, la priorité est de réduire le délai entre disponibilité du correctif et déploiement effectif, car c’est dans ce délai que la menace a le plus de valeur opérationnelle.