Firefox est victime d'une faille de sécurité critique, faisant écho à la faille zero-day de Chrome utilisée dans les cyberattaques russes.

Mozilla a publié un correctif de sécurité urgent pour Firefox après avoir découvert qu'une vulnérabilité critique, similaire à une faille zero-day récemment exploitée dans Chrome, existe également dans le code de son navigateur. Cette nouvelle faille de Firefox, désormais identifiée comme CVE-2025-2857, représente une menace sérieuse pour les utilisateurs, notamment sur les systèmes Windows.

Flaw Mirrors, une faille zero-day de Chrome utilisée dans des attaques ciblées

Cette révélation intervient quelques jours seulement après que Google a corrigé la vulnérabilité CVE-2025-2783, une grave vulnérabilité de Chrome activement exploitée. La faille, découverte et signalée par l'entreprise de cybersécurité Kaspersky, faisait partie d'une campagne ciblée visant les médias, les établissements d'enseignement et les agences gouvernementales russes. Les attaquants ont pu contourner les protections sandbox de Chrome, une fonctionnalité de sécurité essentielle conçue pour isoler les processus et empêcher toute compromission totale du système.

Selon Kaspersky, l'exploit était probablement utilisé depuis la mi-mars 2025 et était exploité conjointement avec une autre vulnérabilité non identifiée pour exécuter du code à distance. La campagne d'attaque, baptisée Opération ForumTroll, utilisait de fausses invitations à un forum scientifique comme appât de phishing – une astuce classique d'ingénierie sociale qui s'est avérée efficace contre des cibles de grande valeur.

Mozilla répond avec un correctif pour Firefox

Suite à la divulgation de la vulnérabilité de Chrome, les développeurs de Mozilla ont mené leur propre enquête et ont découvert un problème similaire dans le code de communication interprocessus (IPC) de Firefox. Le bug de Firefox implique également une gestion incorrecte des handles, ce qui pourrait permettre à un processus enfant compromis de tromper le processus parent et de lui faire renvoyer un handle plus puissant que prévu. Cela ouvre la voie à une fuite potentielle du sandbox, une faille de sécurité grave qui pourrait permettre aux attaquants d'élever leurs privilèges ou de compromettre d'autres composants système.

Mozilla a confirmé que cette vulnérabilité n'affecte que Firefox sur les plateformes Windows. Le problème a été résolu dans les mises à jour de Firefox suivantes :

• Firefox 136.0.4
• Firefox ESR 128.8.1
• Firefox ESR 115.21.1

Le navigateur Tor, basé sur Firefox, a également été mis à jour pour corriger la faille.

Aucune faille Firefox confirmée pour l'instant

Bien que Google ait confirmé que la vulnérabilité de Chrome avait été activement exploitée lors de cyberattaques, Mozilla n'a pas encore constaté d'utilisation de la variante de Firefox. Malgré cela, l'entreprise a rapidement corrigé le problème, consciente du potentiel d'abus, notamment compte tenu de la notoriété des acteurs malveillants impliqués dans l'opération ForumTroll.

Implications plus larges sur les navigateurs

La vulnérabilité de Chrome a depuis été ajoutée au catalogue des vulnérabilités connues exploitées (KEV) de la CISA, une liste réservée aux failles les plus dangereuses dont l'utilisation a été confirmée dans des attaques réelles. La CISA a également averti que d'autres navigateurs basés sur Chromium, notamment Microsoft Edge et Opera, pourraient être affectés par des failles similaires. Microsoft a déjà publié son propre avis en réponse.

Bien que Firefox soit moins fréquemment ciblé que Chrome, il n'en est pas à l'abri. Au cours de la dernière décennie, des attaquants ont exploité plus d'une douzaine de vulnérabilités importantes dans le navigateur. Fin novembre 2024, par exemple, l'entreprise de cybersécurité ESET a révélé qu'un groupe APT russe avait enchaîné des failles zero-day dans Firefox et Windows pour déployer une porte dérobée furtive.

Ce que les utilisateurs de Firefox devraient faire

Si vous utilisez Firefox sous Windows, vous devez immédiatement mettre à jour votre navigateur vers l'une des versions corrigées mentionnées ci-dessus. Les utilisateurs du navigateur Tor doivent également s'assurer qu'ils utilisent la dernière version. Bien qu'aucune attaque active contre Firefox n'ait été confirmée, le risque posé par la faille CVE-2025-2857 est suffisamment grave pour justifier une action urgente.

Comme le montre cet incident, les vulnérabilités zero-day peuvent traverser les navigateurs, et les attaquants adaptent rapidement leurs méthodes. Pour garder une longueur d'avance, il faut maintenir son logiciel à jour et rester prudent avant de cliquer sur des liens suspects, aussi légitimes soient-ils.