Una sola pagina malevola può compromettere Firefox e Tor Browser

🛡️ Executive Summary

• CVE-2026-10702 permette di eseguire codice nel processo di rendering visitando una pagina web malevola, senza ulteriori interazioni.
• La falla colpisce Firefox 147 fino alla 151.0.2 e le versioni di Tor Browser costruite sulle release vulnerabili del browser Mozilla.
• La catena IonStack combina il bug del browser con GhostLock per ottenere privilegi root su una specifica build ARM64 di Android 17.

Una pagina web appositamente costruita può sfruttare una vulnerabilità del compilatore JIT di Firefox ed eseguire codice nel processo di rendering senza richiedere download, conferme o ulteriori azioni da parte dell’utente. La falla, identificata come CVE-2026-10702, è stata utilizzata dai ricercatori di Nebula Security anche contro Tor Browser, che eredita parte del motore Firefox. Da sola, la vulnerabilità non supera automaticamente la sandbox del browser, ma costituisce il primo stadio di IonStack, una catena che aggiunge il bug Linux GhostLock e raggiunge privilegi root su una specifica configurazione ARM64 con Android 17.

La semplice visita alla pagina attiva l’exploit

Lo sfruttamento di CVE-2026-10702 non richiede impostazioni particolari o un’interazione successiva alla navigazione. È sufficiente che Firefox elabori il JavaScript presente in una pagina controllata dall’attaccante. Il codice malevolo induce il compilatore SpiderMonkey JIT a produrre una rappresentazione non coerente dello stato della memoria e permette al payload di ottenere lettura e scrittura arbitrarie all’interno del processo dei contenuti. Il ricercatore Eten Zou ha spiegato che l’exploit può essere attivato dalla sola apertura della pagina, caratteristica che rende la vulnerabilità adatta ad attacchi watering hole, collegamenti inviati tramite phishing o siti compromessi. Non risulta però dimostrato uno sfruttamento contro utenti reali prima della correzione: il materiale pubblico documenta la fattibilità tecnica e mette a disposizione codice di ricerca, ma non prova l’esistenza di una campagna attiva. Mozilla ha classificato il problema con severità alta e lo ha corretto in Firefox 151.0.3.

Un errore del JIT conserva un puntatore ormai invalido

La vulnerabilità nasce nel modo in cui il compilatore ottimizzante interpreta l’operazione MObjectToIterator. Firefox classificava il passaggio come una semplice lettura della memoria quando veniva eseguito con skipRegistration attivo. In realtà, la risoluzione differita di proprietà come name, length o prototype può modificare l’oggetto, allocare un nuovo buffer per gli slot dinamici e liberare quello precedente. Il sistema di Global Value Numbering considerava quindi ridondante un secondo caricamento e riutilizzava il primo puntatore anche dopo la sostituzione del buffer. L’attaccante poteva rioccupare l’allocazione liberata, costruire un oggetto falso e corrompere una Uint8Array, ottenendo primitive di lettura e scrittura arbitrarie. La correzione di Mozilla rimuove la classificazione personalizzata in sola lettura e impedisce all’ottimizzatore di trattare come innocua un’operazione capace di modificare la memoria. La falla dimostra quanto una singola descrizione errata degli effetti collaterali possa trasformare un’ottimizzazione formalmente valida in una use-after-free sfruttabile.

Firefox dalla versione 147 alla 151.0.2 risulta vulnerabile

L’advisory ufficiale Mozilla indica Firefox 151.0.3 come versione corretta, senza pubblicare un elenco completo di tutte le release precedenti vulnerabili. L’analisi della cronologia del codice colloca però l’introduzione del comportamento difettoso in una modifica confluita nella versione 147, mentre la logica vulnerabile è ancora presente nella 151.0.2 e assente dalla 151.0.3. Il perimetro ricostruito comprende quindi Firefox stabile dalla 147 alla 151.0.2. La documentazione disponibile non include Firefox ESR, e il codice interessato non risulta presente nella release ESR 140.12 esaminata dai ricercatori. Gli utenti non devono comunque affidarsi soltanto al numero principale della versione: la misura corretta consiste nell’installare l’ultima release offerta dal canale ufficiale e verificare che il browser riporti almeno Firefox 151.0.3 o una build successiva. La gestione delle falle del browser era già emersa con gli aggiornamenti critici che coinvolgevano CISA, Microsoft e Firefox, perché una vulnerabilità nel motore web può essere raggiunta da qualsiasi contenuto remoto elaborato durante la normale navigazione.

Tor Browser eredita la vulnerabilità dal motore Firefox

Nebula Security ha utilizzato CVE-2026-10702 anche per compromettere Tor Browser, dimostrando che le protezioni di anonimato non eliminano automaticamente le vulnerabilità del browser sottostante. Tor Browser deriva da Firefox ESR e applica modifiche dedicate a privacy, uniformità del fingerprint e instradamento del traffico attraverso la rete Tor. Quando una sua release incorpora codice Firefox vulnerabile, una pagina può comunque raggiungere il motore JavaScript ed eseguire la prima fase dell’exploit. I ricercatori affermano che tutte le build Tor basate su versioni Firefox contenenti il bug erano teoricamente coinvolte, ma non hanno pubblicato un elenco esatto delle release Tor interessate. È quindi scorretto indicare versioni specifiche senza un advisory dedicato del Tor Project. L’impatto iniziale resta confinato al processo sandboxato dei contenuti, ma una compromissione del renderer può esporre informazioni della sessione, preparare una seconda fase e ridurre le garanzie di anonimato offerte dal browser. Gli utenti di sistemi orientati alla privacy devono aggiornare anche la distribuzione che incorpora Tor Browser, come avviene con Tails 7.10 e i suoi aggiornamenti dedicati alla protezione dei dati.

IonStack porta l’exploit dal browser al kernel Android

CVE-2026-10702 costituisce soltanto il primo stadio della catena denominata IonStack. Dopo aver ottenuto lettura e scrittura nel renderer, il codice pubblico modifica le protezioni della memoria e devia l’entry point di una funzione WebAssembly verso shellcode ARM64. La seconda fase sfrutta CVE-2026-43499, vulnerabilità del sottosistema futex del kernel Linux soprannominata GhostLock, per uscire dalla sandbox e raggiungere privilegi root. L’exploit completo pubblicato dai ricercatori è calibrato su una singola build Google supportata con Android 17 su ARM64 e contiene offset specifici per quella configurazione. Non rappresenta quindi un attacco universale contro qualsiasi telefono Android o computer desktop. Nebula sostiene che i passaggi concettuali non dipendano dall’architettura e che il percorso x86 sia persino più stabile, ma la catena completa per x86 non era stata conclusa al momento della pubblicazione. L’importanza dell’esperimento consiste nella combinazione tra una falla web remota e una vulnerabilità locale del kernel, schema che trasforma una visita a una pagina nel controllo completo del dispositivo. La relazione tra Android e il kernel sottostante è riassumibilie in Android è Linux: il kernel che decide la sicurezza degli smartphone.

La patch di Firefox non corregge GhostLock

Aggiornare Firefox blocca il punto d’ingresso documentato dalla catena IonStack, ma non corregge la vulnerabilità GhostLock presente nel kernel del sistema operativo. Questo significa che un dispositivo può non essere più attaccabile attraverso CVE-2026-10702 e restare comunque esposto a un diverso exploit locale capace di raggiungere la stessa falla Linux. Browser e sistema devono essere quindi aggiornati separatamente. Su Android occorre installare le patch del produttore o di Google relative alla specifica build del dispositivo; sui desktop Linux bisogna verificare che il kernel distribuito contenga la correzione per CVE-2026-43499. L’assenza di sfruttamento pubblico confermato non giustifica il rinvio, perché il codice relativo al primo stadio è già disponibile e fornisce una base tecnica adattabile. Le organizzazioni che gestiscono browser aziendali devono forzare l’aggiornamento, controllare versioni portatili o non amministrate e impedire che gli utenti mantengano release precedenti per compatibilità.

La sandbox limita il danno ma non rende innocua la falla

CVE-2026-10702 offre inizialmente esecuzione di codice nel renderer e non direttamente privilegi root. La ricerca tecnica di Nebula Security mostra però come quella prima capacità possa essere trasformata in lettura e scrittura arbitrarie e collegata a un secondo exploit del kernel. La distinzione evita due errori opposti: descrivere la falla come una compromissione automatica di ogni sistema oppure ridurla a un crash confinato nella sandbox. Una sola pagina può compromettere il processo del browser; il controllo completo del dispositivo richiede invece una seconda vulnerabilità, una configurazione compatibile e un exploit adattato al bersaglio.