Hackpocalypse vertagt: Mozilla veröffentlicht 12 Mythos-Bugs

Mozilla hat am 7. Mai 2026 Details zu zwölf Schwachstellen veröffentlicht, die Mythos im Rahmen des Sicherheitsupdates für Firefox 150 gefunden hatte. Darunter sind ein 15 Jahre alter Fehler im HTML-Element <legend> und ein 20 Jahre alter XSLT-Bug. Die Funde klingen spektakulär. Die Veröffentlichung stützt den Anthropic-Hype um Claude Mythos trotzdem nicht. Er untermauert die Einschätzung, die The Register Ende April als Nothingburger bezeichnete.

Was steckt im Mozilla-Hacks-Post vom 7. Mai 2026?

Der Blog-Beitrag von Brian Grinstead, Christian Holler und Frederik Braun liefert die technischen Details. Üblicherweise hält Mozilla detaillierte Bug-Reports nach einem Patch monatelang zurück. Diesmal hat das Team besagtes Embargo allerdings verkürzt.

Drei der zwölf veröffentlichten Bugs zeigen die Spannweite der Funde. Bug 2024437 betrifft das HTML-Element <legend> und steckte 15 Jahre lang im Firefox-Code. Bug 2025977 ist ein 20 Jahre alter XSLT-Bug bei key()-Aufrufen. Bug 2026305 betrifft das rowspan=0-Attribut in Tabellen und überschrieb ein 16-Bit-Layout-Bitfeld. Letzterer hatte sich jahrelang vor Fuzzing-Systemen versteckt. Fuzzing meint automatisierte Werkzeuge, die Software mit zufälligen Eingaben füttern.

Mehrere der Funde sind Sandbox-Escapes. Diese Bug-Klasse erlaubt es bösartigem Code, aus dem isolierten Render-Prozess auszubrechen. Mozilla zahlt dafür bis zu 20.000 US-Dollar Kopfgeld. Brian Grinstead sagte gegenüber TechCrunch, Mythos finde inzwischen mehr Sandbox-Bugs als menschliche Forscher zuvor.

Die Vergleichszahlen aus dem Post sind ebenfalls deutlich. Im April 2025 patchte Firefox 31 Sicherheitslücken in einem Monat. Im April 2026 waren es 423. 271 davon entdeckte Mythos, 41 meldeten externe Sicherheitsforscher. Die übrigen 111 verteilen sich zu etwa gleichen Teilen auf drei weitere Quellen.

Anzeige

Warum der Hype nicht hält, was er verspricht

Mozilla begann den Aufbau der eigenen Analyse-Pipeline nicht mit Mythos, sondern bereits mit Claude Opus 4.6. Das Modell ist seit Februar 2026 verfügbar. Schon in dieser Phase fand Mozilla nach eigenen Angaben eine beachtliche Zahl bislang unbekannter Schwachstellen, darunter auch Sandbox-Escapes.

Mozilla schreibt im Hacks-Blog, schon der Aufbau der Analyse-Pipeline mit öffentlich verfügbaren Modellen habe eine Reihe ernster Bugs sichtbar gemacht. Erst mit Mythos stieg die Zahl der Funde deutlich. Das Modell ist also leistungsfähiger. Der eigentliche Hebel liegt aber in der Infrastruktur rund um das Modell.

Der irische Sicherheitsexperte Brian Honan hob gegenüber Help Net Security vor allem das wiederholte Scheitern von Mythos-Angriffen hervor. Mozilla hat Firefox in den vergangenen Jahren systematisch gehärtet, etwa indem Prototypen im Elternprozess eingefroren wurden. Mythos versuchte mehrfach, diese Stellen per Prototype Pollution anzugreifen. Die Angriffe scheiterten. Honan wertet das als Bestätigung klassischer Layered-Defense-Strategien, also gestaffelter Sicherheitsebenen.

Auch ein zweites Detail ist relevant. Mozilla nutzt KI nicht zum Patchen. Jeder einzelne der 271 Bugs wurde von einem Entwickler manuell gepatcht und von einem zweiten überprüft. Brian Grinstead sagte gegenüber TechCrunch, seinem Team sei es nicht gelungen, das Patchen zu automatisieren. Über 100 Entwickler haben am Sicherheitssprint mitgearbeitet.