Mozilla a commencé à déployer Firefox 159 le 27 octobre pour Windows, macOS, Linux et Android. Le bulletin de sécurité de l’éditeur recense 167 vulnérabilités corrigées dans cette version. Parmi elles, 108 sont classées à un niveau de gravité élevé, 52 à un niveau modéré et 7 à un niveau faible. Mozilla n’en considère aucune comme critique et son bulletin ne fait état d’aucune exploitation active au moment de la publication.
OpenAI associé à 41 signalements
Le chiffre le plus notable concerne la contribution d’OpenAI. D’après Mozilla, 34 failles ont été signalées par Codex Security, l’agent de sécurité lancé par OpenAI en version préliminaire de recherche en mars. Amy Burnett, chercheuse chez OpenAI, en a identifié 7 autres. Au total, l’entreprise est donc associée à 41 des 167 correctifs publiés dans Firefox 159, soit près d’un quart du total recensé par Mozilla.
Cette attribution ne signifie pas que l’agent a découvert à lui seul toutes les vulnérabilités au même moment ni qu’il remplace le travail des équipes de sécurité. Elle indique que ses signalements ont été pris en compte par Mozilla dans cette livraison. La distinction est importante : une faille repérée par un outil automatisé doit encore être vérifiée, documentée et corrigée par l’éditeur du logiciel concerné.
Des failles mémoire parmi les risques élevés
La majorité des vulnérabilités classées comme élevées relèvent de problèmes d’utilisation après libération. Ce type de défaut apparaît lorsqu’un programme continue d’accéder à une zone de mémoire qui n’est plus censée être utilisée. Selon la gravité et les conditions d’exploitation, une telle faiblesse peut permettre à un attaquant de faire exécuter du code malveillant.
Le bulletin de Firefox 159 mentionne également une faille permettant de sortir du bac à sable du navigateur. Celle-ci n’a pas été découverte par OpenAI, mais par Mozilla. Le bac à sable vise à limiter les conséquences d’un problème rencontré par une page ou un processus ; une sortie de ce périmètre constitue donc un risque distinct, même si l’éditeur ne classe pas cette vulnérabilité au niveau critique.
Un total influencé par la méthode de comptage
Le volume de 167 vulnérabilités ne doit pas être interprété uniquement comme une soudaine multiplication des failles dans Firefox. Mozilla explique avoir modifié sa manière de les déclarer. L’entreprise ne regroupe plus sous une seule référence CVE plusieurs failles de sécurité mémoire découvertes en interne. Des problèmes qui auraient auparavant pu apparaître dans une entrée commune sont ainsi davantage distingués dans le bulletin.
- 167 vulnérabilités corrigées dans Firefox 159 ;
- 108 classées comme présentant une gravité élevée ;
- 41 signalements attribués à OpenAI, dont 34 à Codex Security ;
- aucune faille classée critique et aucune exploitation active signalée par Mozilla.
L’IA progresse, mais ne couvre pas tout le risque
Firefox avait déjà servi de terrain d’analyse pour des outils d’intelligence artificielle. En février, Anthropic avait examiné environ 6 000 fichiers C++ du navigateur avec Claude Opus 4.6. Cette analyse avait conduit à l’identification de 22 CVE, dont la plupart avaient ensuite été corrigées par Mozilla dans Firefox 148.
Ces résultats ne permettent toutefois pas de conclure que l’IA peut établir une cartographie exhaustive de la sécurité d’un logiciel aussi complexe qu’un navigateur. Le contenu fourni rappelle qu’en juillet, une vulnérabilité de niveau root, que l’outil d’Anthropic n’avait pas détectée, avait été signalée par ailleurs. L’exemple souligne la limite actuelle de ces systèmes : ils peuvent accroître la capacité de recherche et faire émerger des défauts difficiles à repérer, mais ils laissent encore passer certaines failles.
Pour les utilisateurs, l’annonce de Mozilla constitue surtout un rappel de l’importance des mises à jour du navigateur. Pour les éditeurs, elle illustre l’évolution des audits de sécurité : les agents d’IA deviennent des contributeurs supplémentaires au signalement des bugs, tandis que la validation humaine, la correction du code et la publication des correctifs restent indispensables. Le nombre élevé d’entrées dans Firefox 159 traduit donc à la fois une campagne de correction importante, une nouvelle méthode de déclaration et l’entrée de ces outils dans les processus de recherche de vulnérabilités.
