Firefox patcht 423 Sicherheitslücken in 30 Tagen mit Claude Mythos

Mozilla hat im April 2026 423 Firefox-Sicherheitspatches ausgeliefert – ungefähr so viele wie in den gesamten vorhergehenden 14 Monaten zusammen – nachdem das Unternehmen Zugriff auf Anthropics Claude Mythos Preview erhielt. Allein das Release 150 brachte 271 Fixes mit sich – 180 als sec-high, 80 als sec-moderate, 11 als sec-low eingestuft – weitere Patches verteilten sich auf 149.0.2, 150.0.1 und 150.0.2. Unter den offengelegten Beispielen: ein 20 Jahre altes XSLT-Reentrancy-Problem (Bug 2025977), bei dem key()-Aufrufe den Hintergrundspeicher freigeben und einen rohen Zeiger aktiv hinterlassen konnten, ein 15 Jahre alter Fehler im HTML-Element (Bug 2024437), ein WebAssembly-GC-Bug, der eine Fake-Object-Primitive für beliebiges Lesen oder Schreiben liefern konnte, IPC-Race-Conditions, die die Referenzzähler im Elternprozess betrafen, eine rohe NaN-Deserialisierung über eine IPC-Grenze hinweg sowie ein Stack-Speicherleck im Elternprozess beim DNS-Parsing.

Warum das wichtig ist

Firefox gehört zu den am intensivsten auditierten Browsern überhaupt – zwei Jahrzehnte lang geprüft von internen Teams, externen Forschern, Fuzzern und Bug-Bounty-Huntern. Dass ein 20 Jahre alter XSLT-Defekt dieser Prüfung standgehalten hat, ist der stärkste einzelne Datenpunkt dafür, wie lange ausnutzbar wirkende Fehler in ausgereiften Codebasen fortbestehen können – und wie sich die Kosten für ihre Entdeckung verschoben haben. Mozilla schrieb die Leistung zwar Claude Mythos Preview zu, betonte jedoch, das Modell sei nur die eine Hälfte des Ergebnisses gewesen. Die andere Hälfte war eine Harness, die das Unternehmen baute, um das Modell auf bestimmte Codebereiche zu lenken, reproduzierbare Testfälle zu erzeugen, Rauschen herauszufiltern, Funde zu deduplizieren, den Schweregrad zu triagieren und bestätigte Bugs in den Sicherheits-Lebenszyklus zu überführen. Mehr als 100 Personen trugen Code zu dem Härtungslauf bei. Ohne dieses operative Gerüst wäre der Output des Modells an seiner schieren Menge erstickt – dieselbe Rauschlast, die frühere KI-generierte Sicherheitsmeldungen für Open-Source-Maintainer unbrauchbar gemacht hatte.

Marktauswirkung

Die Asymmetrie ist die eigentliche Geschichte. Ein böswilliger Akteur mit Mythos-ähnlichem Werkzeug vor Mozillas April-Lauf hätte über eine breitere Suchfläche, schnellere Erzeugung von Proof-of-Concepts und einen tieferen Vorrat an verkettbaren Primitiven verfügt – einschließlich Kandidaten für Sandbox-Escapes, die Präzision statt schiere Skala erfordern. Für den Krypto-Stack ist die Implikation direkt: Browser sitzen zwischen Nutzern und Börsen, Wallets, Bridges, Custody-Dashboards, Governance-Portalen und Admin-Konsolen. Eine Kompromittierung auf Browser-Ebene gegen einen gezielt ins Visier genommenen Nutzer kann Sessions übernehmen, Transaktionsdetails vor dem Signieren manipulieren, Wallet-Dialoge einschleusen oder von der Maschine eines Entwicklers in die operative Infrastruktur pivotieren.