Mozilla hat am 10. November 2026 Firefox 160 für Windows, macOS und Linux freigegeben. Die neue Version bringt eine Geschwindigkeitsregelung für das Bild-im-Bild-Fenster, ein neues „Mini Window“ und Spracherkennung direkt auf dem Gerät. Wichtiger als jede Funktion ist diesmal aber der Sicherheitsteil: Der zugehörige Sicherheitshinweis MFSA 2026-125 listet 99 geschlossene Lücken auf, 57 davon stuft Mozilla als „hoch“ ein. Gleichzeitig sind Firefox ESR 153.7 und ESR 115.45 sowie Thunderbird 160 und 153.7 erschienen.

Was Firefox 160 für Nutzer ändert

Die sichtbaren Neuerungen stehen in den offiziellen Release Notes. Die wichtigsten Punkte:

  • Bild-im-Bild mit Tempo-Regler: Das schwebende Videofenster bekommt eine Einstellung für die Wiedergabegeschwindigkeit von 0,25-fach bis 2-fach. Sie erscheint laut Mozilla nur, wenn das Fenster mindestens mittelgroß ist.
  • Mini Window: Ein Tab oder ein ausgewählter Teil einer Seite lässt sich in ein Fenster auslagern, das beim Surfen immer im Vordergrund bleibt. Mozilla spricht ausdrücklich von einer frühen Fassung und bittet um Rückmeldungen über Mozilla Connect.
  • Chronik per Drag-and-drop: Einträge aus der Chronik in der Seitenleiste kannst du auf die Tableiste ziehen, um sie in neuen Tabs zu öffnen.
  • Adressleiste: Liegt in der Zwischenablage ein Suchbegriff statt einer Webadresse, bietet das Kontextmenü „Paste and Search“ statt „Paste and Go“ an (Bezeichnungen der englischen Oberfläche). Außerdem hebt sich der Domainname stärker vom Rest der Adresse ab.
  • Lästige Nachfragen abstellen: Websites, die wiederholt anbieten, E-Mail-Links (mailto:) und andere Linktypen zu übernehmen, lassen sich über die neue Schaltfläche „Never allow“ sperren. Die gesperrten Seiten verwaltest du in den Einstellungen.
  • Mehr Medienformate: Firefox spielt jetzt Matroska-Dateien (MKV) mit FLAC-, MP3- oder PCM-Ton ab.
  • Barrierefreie PDFs: Speicherst du eine Seite als PDF, bleiben mathematische Formeln (MathML) für Hilfstechnik wie Screenreader zugänglich.

Auf dem Mac rendert Firefox WebGL-Inhalte nun über Apples Grafikschnittstelle Metal, was nach Angaben von Mozilla auf manchen Seiten die Leistung verbessern kann. Dazu kommen mehrere Mac-Korrekturen, etwa bei gleichzeitigen Downloads, die bisher nie fertig wurden, wenn Firefox nach dem Speicherort fragen sollte. Die Funktion „Organize Tabs“ im Smart Window, die zusammengehörige Tabs gruppiert und benennt, gibt es jetzt auch auf Französisch; sie wird schrittweise verteilt.

Zwei Fehlerkorrekturen dürften vielen auffallen: Beim schnellen Tippen direkt nach dem Klick in die Adress- oder Suchleiste geht das erste Zeichen nicht mehr verloren. Und in Firmennetzen friert Firefox bei der Anmeldung an Intranet-Seiten mit NTLM oder Kerberos (Negotiate) nicht mehr sekundenlang ein.

Symbolbild: Framework Laptop 12 im Tablet-Modus, auf dem unter Linux der Browser Firefox neben einem Systemmonitor läuft

Symbolbild: Firefox unter Linux auf einem Framework Laptop 12 (nicht Version 160). Foto: Junaruga / Wikimedia Commons, CC0

Und unter Linux?

Eigene Linux-Neuerungen nennen die Release Notes von Firefox 160 nicht. Die plattformübergreifenden Änderungen – MKV-Wiedergabe, Mini Window, Tempo-Regler – gelten aber auch dort. Sicherheitsrelevant ist ein Eintrag im Advisory: CVE-2026-124917 beschreibt einen Ausbruch aus der Sandbox durch einen Use-after-free-Fehler in der Komponente „Widget: Gtk“, also in der GTK-Anbindung, über die Firefox unter Linux seine Oberfläche darstellt. Mozilla stuft die Lücke als „moderat“ ein, die US-Behörde CISA bewertet sie im CVE-Eintrag mit einem CVSS-Wert von 9,6.

99 geschlossene Sicherheitslücken

Der Sicherheitshinweis MFSA 2026-125 vom 10. November 2026 führt 99 CVE-Einträge auf: 57 mit der Einstufung „hoch“, 24 „moderat“ und 18 „niedrig“. Zwei davon betreffen nur Firefox für Android. Ein großer Teil sind Speicherfehler wie Use-after-free und fehlerhafte Grenzprüfungen in DOM, Layout, CSS, Grafik und JavaScript-Speicherverwaltung. Mehrere Einträge beschreiben Ausbrüche aus der Sandbox, die Webinhalte vom restlichen System abschirmt, darunter:

  • CVE-2026-124853: Sandbox-Ausbruch durch fehlerhafte Grenzprüfung in der Textdarstellung („Graphics: Text“)
  • CVE-2026-124859: Sandbox-Ausbruch in der Cache-API („Storage: Cache API“)
  • CVE-2026-124864: Sandbox-Ausbruch durch Use-after-free in den Service Workers
  • CVE-2026-124903: Sandbox-Ausbruch durch Use-after-free in der Prozesskommunikation (IPC)

Mozilla selbst vergibt keine CVSS-Werte, sondern nur die eigene Einstufung. Für die vier genannten Lücken hat die CISA in den CVE-Einträgen (Stand 11. November 2026) jeweils 9,6 eingetragen, für die meisten übrigen Speicherfehler 8,8. Der Bewertungsvektor setzt jeweils eine Nutzerinteraktion voraus – typischerweise den Aufruf einer präparierten Seite. Zu Angriffen äußert sich Mozilla im Advisory nicht; im Katalog bekannter ausgenutzter Schwachstellen der CISA (Stand 10. November 2026) steht keine der 99 Lücken.

Auffällig ist die Liste der Melder: 47 Einträge nennen Mozilla selbst, 25 „OpenAI Codex Security (kylebot)“ und ein weiterer „Amy Burnett of OpenAI“. Alle 26 OpenAI-Meldungen tragen die Einstufung „hoch“. Über die von OpenAI gemeldeten Firefox-Lücken haben wir bereits berichtet; ob und wie viele der jetzt geschlossenen Lücken zu der dort genannten Zahl gehören, geht aus dem Advisory nicht hervor.

ESR 153.7, ESR 115.45 und Thunderbird

Wer die Langzeitversion nutzt, bekommt die Korrekturen ebenfalls. Firefox ESR 153.7 schließt laut MFSA 2026-127 81 Lücken, Firefox ESR 115.45 laut MFSA 2026-126 28 Lücken, die alle als „hoch“ eingestuft sind. Nutzer von Windows 8.1 und älter sowie macOS 10.14 und älter verweist Mozilla in den Release Notes auf Firefox ESR; für diese Altsysteme wird der 115er-Zweig weitergepflegt. Weil Thunderbird auf demselben Unterbau aufsetzt, sind am selben Tag Thunderbird 160 (MFSA 2026-128) und Thunderbird 153.7 (MFSA 2026-129) erschienen. Firefox 160 für iOS folgte bereits am 9. November 2026 (MFSA 2026-124).

Was sich für Entwickler ändert

Die Entwicklerseite auf MDN nennt als größte Neuerung die Web Speech API: Die Schnittstelle SpeechRecognition wandelt Sprache auf dem Desktop in Echtzeit und direkt auf dem Gerät in Text um, in 40 Sprachen. Unter Android wird die Erkennung nicht unterstützt, eine Erkennung über Cloud-Dienste ebenfalls nicht.

Bei WebTransport gibt es gleich mehrere Änderungen, von denen eine bestehenden Code bricht: WebTransport.exportKeyingMaterial() verlangt jetzt das Argument context und kennt neu outputLength; bisher lieferte die Methode immer 32 Byte. Der Konstruktor nimmt die Option headers für eigene HTTP-Header entgegen, die Antwort-Header stehen in responseHeaders. Die nicht standardisierten Eigenschaften incomingHighWaterMark und outgoingHighWaterMark sind entfernt und durch incomingMaxBufferedDatagrams und outgoingMaxBufferedDatagrams ersetzt.

Weitere Punkte in Kürze:

  • CSS: ::-webkit-input-placeholder funktioniert als Alias für ::placeholder – aus Kompatibilitätsgründen.
  • Das nicht standardisierte Ereignis MozScrolledAreaChanged erreicht Webseiten nicht mehr.
  • WebExtensions: runtime.PlatformInfo meldet auf ARM64-Systemen als arch jetzt arm64 statt aarch64, wie Chrome.
  • Hinter Schaltern in about:config stecken unter anderem blocking="render" für Skripte und Stylesheets sowie Lazy Loading für <video> und <audio>.

So aktualisierst du Firefox

Unter Windows und macOS aktualisiert sich Firefox normalerweise selbst. Von Hand stößt du die Suche über das Menü an: Hilfe → Über Firefox. Dort steht auch die installierte Version; nach dem Herunterladen ist ein Neustart des Browsers nötig. Angesichts der Zahl der Lücken solltest du das Update nicht aufschieben.

Unter Linux kommt Firefox meist aus der Paketverwaltung der Distribution, als Snap oder als Flatpak – dann erscheint Version 160 erst, wenn das jeweilige Paket aktualisiert wurde. Die Version prüfst du im Terminal:

firefox --version

Ausführlichere Angaben, etwa zum Update-Kanal, zeigt die Seite about:support. Für Snap und Flatpak lässt sich die Aktualisierung so anstoßen:

sudo snap refresh firefox
flatpak update org.mozilla.firefox

Wer Firefox ESR einsetzt, sollte auf 153.7 beziehungsweise 115.45 stehen, bei Thunderbird auf 160 oder 153.7.

Quellen

Bildnachweis