前言
Mozilla 於 2026 年 11 月 10 日將 Firefox 160.0 推上 Release 通道。這一版的使用者端重點是可以把分頁或頁面局部釘在最上層的 Mini Window、子母畫面播放器的播放速度設定，以及可封鎖網站反覆要求處理 mailto 等連結的「Never allow」按鈕。對網頁開發者而言，Web Speech API 的 SpeechRecognition 正式支援、且辨識完全在裝置上進行，是本版最值得注意的平台變化。
前一版的整理請見 Firefox 159 更新。
新功能
本版共有九項新功能，其中 Mini Window 屬於早期版本，Smart Window 的分頁整理則採漸進式推出。
Mini Window 置頂小視窗
Mini Window 可以把整個分頁，或頁面中選取的一部分，移到一個永遠置頂的小視窗。適合邊工作邊盯著直播、儀表板或線上會議。Mozilla 將它定位為早期版本，並在 Mozilla Connect 徵求使用者意見。
子母畫面可調整播放速度
子母畫面（Picture-in-Picture）播放器新增播放速度設定，範圍從 0.25 倍到 2.0 倍。這個選項只在播放器視窗為中等以上大小時出現，視窗縮得太小時會隱藏。
封鎖反覆要求處理連結的網站
部分網站會一再跳出要求，希望成為 mailto 等連結的處理程式。現在對話框多了「Never allow」按鈕，按下後該網站不會再詢問，已封鎖的網站可以在設定中管理。
其他新功能
- 側邊欄的歷史記錄可以直接拖曳到分頁列，在新分頁開啟。
- 複製的文字若是搜尋字詞，網址列右鍵選單會顯示「Paste and Search」，取代原本的「Paste and Go」。
- 從網頁另存的 PDF 會保留 MathML 數學式的無障礙資訊，螢幕閱讀器等輔助技術可以正確讀出。
- 可播放音訊為 FLAC、MP3 或 PCM 的 Matroska（MKV）影片檔。
- macOS 上的 WebGL 內容改用 Apple 的 Metal 圖形 API 繪製，部分網站效能可望提升。
- Smart Window 的整理分頁（Organize Tabs）支援法文，會建議相關分頁的群組並以法文命名。此功能為漸進式推出，部分使用者會先於其他人看到。
問題修正
官方列出八項功能修正，另有一項為安全修補。其中一半與 macOS 有關，另一項解決企業內網登入時整個瀏覽器卡住數秒的老問題。
- 點進網址列或搜尋列後立刻快速輸入，第一個字元有時會遺失的問題已修正。
- 網址列中網域名稱與其餘文字的對比提高，更容易辨識實際造訪的網站。
- 登入使用 NTLM 或 Kerberos（Negotiate）驗證的內網網站時，Firefox 凍結數秒的問題已修正。
- 文字欄位中，游標附近的雙擊選字、長按選字與點擊定位游標恢復正常。
- macOS 上從其他應用程式（例如 RSS 閱讀器）在背景開啟連結時，Firefox 不再被帶到最前面。
- macOS 上下載的檔案偶爾以錯誤的應用程式開啟，而非 Finder 設定的預設程式，此問題已修正。
- macOS 上設定為「詢問儲存位置」時，同時進行的多個下載永遠無法完成的問題已修正。
- macOS 上從列印對話框以「預覽程式」開啟 PDF，重新取得有意義的檔名與正常的存檔流程。
安全性更新
隨 Firefox 160 發布的 MFSA 2026-125 整體影響等級為 high，共修補 99 個 CVE。數量比上一版 MFSA 2026-118 的 167 個少了約四成，但 high 等級仍有 57 項，修補範圍依然很廣。
| 影響等級 | CVE 數量 |
|---|---|
| Critical | 0 |
| High | 57 |
| Moderate | 24 |
| Low | 18 |
值得注意的幾個類型如下。
sandbox escape 共 13 項
其中 9 項為 high 等級，分布在 Graphics: Text、DOM: Navigation、Storage: Cache API、Audio/Video: cubeb、DOM: Service Workers、IPC 與 Graphics: CanvasWebGL 等元件；CVE-2026-124907 同時被標為權限提升。另 4 項 moderate 等級分布在 Widget: Gtk、Graphics: WebGPU、Agent 與 Console 元件。sandbox escape 是瀏覽器攻擊鏈中從「控制內容程序」走到「控制系統」的關鍵一步，這類漏洞的數量值得企業特別留意。
同源政策繞過共 4 項
包含 Networking: HTTP 元件的 CVE-2026-124874 與 Audio/Video 元件因競爭條件造成的 CVE-2026-124902，兩者皆為 high 等級。
use-after-free 仍是主流
high 等級中有超過半數是 use-after-free，遍及 DOM、Layout、CSS 解析、JavaScript GC、Networking 與 Storage 等元件。JIT 錯誤編譯本版只有一項（CVE-2026-124939），且僅為 low 等級。
AI 輔助挖掘的比重持續升高
公告中由 OpenAI Codex Security（kylebot）通報的漏洞有 25 項，全部是 high 等級，另有 1 項由 OpenAI 的 Amy Burnett 通報，合計佔 high 等級的 26/57，約四成六，比上一版的約四成又高了一些。Mozilla 內部發現的則有 47 項。其餘外部研究者中，Takashi Suzuki 一人通報 7 項，以資訊洩漏與同源相關問題為主。另有一項 JIT 錯誤編譯由騰訊 Keen Lab 的 CodeBuddy Security 通報，可見 AI 輔助的漏洞挖掘已不只一家廠商在做。
同日 Mozilla 也發布了 ESR 與 Thunderbird 的對應公告：MFSA 2026-126（Firefox ESR 115.45）、MFSA 2026-127（Firefox ESR 153.7）、MFSA 2026-128（Thunderbird 160）與 MFSA 2026-129（Thunderbird 153.7）。公告中未標示任何漏洞已遭實際利用（in the wild），但 high 等級的 use-after-free 與 sandbox escape 數量可觀，仍建議儘速升級。
開發者與 Web 平台
Web Speech API 語音辨識
SpeechRecognition 介面正式支援，提供即時語音轉文字，支援 40 種語言。依 MDN Firefox 160 for developers 的說明，Firefox 的辨識完全在裝置上進行，不支援送往雲端的遠端辨識，目前僅限桌面版，Android 尚未支援。既然不提供遠端辨識，語音資料就不必送往雲端服務，這對重視隱私的應用是實際的優點；但開發者也要留意，各瀏覽器的辨識品質與語言涵蓋不會一致。
WebTransport 多項更新
WebTransport() 建構子新增 headers 選項，伺服器回應標頭可由 WebTransport.responseHeaders 讀取；新增 datagramsReadableType 選項，設為 bytes 時可用 ReadableStreamBYOBReader 讀取 datagram。WebTransportDatagramDuplexStream 改用標準的 incomingMaxBufferedDatagrams 與 outgoingMaxBufferedDatagrams，非標準的 incomingHighWaterMark 與 outgoingHighWaterMark 已移除。
破壞性變更：exportKeyingMaterial()
WebTransport.exportKeyingMaterial() 改依最新規格，context 參數變成必填，並新增 outputLength 指定輸出位元組數，過去固定回傳 32 位元組。省略任一參數的既有程式碼必須修改。
CSS 相容性
支援舊式的 ::-webkit-input-placeholder 偽元素，作為 ::placeholder 的別名。只為 WebKit 寫過 placeholder 樣式的網站，在 Firefox 上也會套用。
移除與擴充套件
非標準的 MozScrolledAreaChanged 事件不再派送給網頁。擴充套件 API 的 runtime.PlatformInfo 在 ARM64 平台上的 arch 改回傳 arm64（原為 aarch64），與 Chrome 一致，依架構字串判斷的擴充套件需檢查。
實驗性功能
本版附帶但預設關閉的功能包括 blocking="render" 渲染阻擋、<video> 與 <audio> 的延遲載入、以 Speculation-Rules HTTP 標頭提供推測規則、Typed OM 的 CSSNumericValue 四則運算，以及 Canvas 2D 的 display-p3 色彩空間，需在 about:config 中開啟對應偏好設定才能試用。WebDriver BiDi 也有五項修正與改進。
企業版與升級建議
企業管理者應於本週內完成 Firefox 160 或 ESR 153.7、ESR 115.45 的派送，主要考量是本版的 57 項 high 等級漏洞，其中 9 項為 sandbox escape。
依 Firefox 管理者文件，本版新增 DisableMacOSUserPolicies 政策，可在 macOS 上忽略使用者偏好設定與使用者層級設定描述檔所帶入的政策，避免使用者自行覆蓋組織派送的設定。Cookies 政策中列在 Block 的主機，現在每次套用政策時都會清除其 Cookie；SitePolicies 的 Match 與 Exceptions 對主機名稱結尾帶點（例如 example.com.）的網址未生效，此問題已修正。ESR 153.7 則沒有政策變更。
使用 Firefox Enterprise 160 的組織另有幾項變化：DisableDeveloperTools 現在不需重新啟動即可停用 WebDriver BiDi 與 Marionette 遠端自動化；Firefox 研究、Nimbus、Normandy、Firefox Labs 與各類推薦功能一律關閉並鎖定；datareporting.healthreport.uploadEnabled 鎖定為開啟，使用者無法阻止安全事件回傳；設定檔管理與主密碼功能停用，改由設定檔加密取代。
升級時建議注意以下幾點。
- 使用 ESR 通道的環境，請對應更新至 ESR 153.7 或 ESR 115.45，安全公告與 160 同日發布。Thunderbird 使用者請一併更新至 160 或 153.7。
- Mini Window 會把頁面內容放在永遠置頂的視窗中，在共用螢幕、簡報或櫃台等場合，可能讓機敏畫面停留在其他視窗之上，教育訓練時可提醒使用者留意。
- 網頁現在可以使用麥克風進行語音辨識。辨識雖在本機進行，但仍需取得麥克風權限，若組織限制麥克風使用，請確認既有的權限政策（例如
Permissions中的Microphone）仍正確套用。 - 使用者按下「Never allow」封鎖的協定處理要求會留在設定中，若內部系統依賴 mailto 或自訂協定，服務台接到「點了沒反應」的回報時，可先檢查這份封鎖清單。
- macOS 的 WebGL 改走 Metal，大量依賴 WebGL 的內部系統（例如 GIS、3D 檢視器）建議先在測試機驗證繪製結果。
- 使用 NTLM 或 Kerberos 驗證內網的組織，本版修正了登入時的凍結問題，可留意使用者回報是否改善。
一般使用者可透過說明選單中的關於 Firefox 檢查並安裝更新，或至 firefox.com 下載完整安裝檔。
