Firefox 158.0.1 porta il blocco dei certificati compromessi anche alle installazioni isolate
La protezione remota di Mozilla è arrivata il 17 ottobre. L’aggiornamento di oggi copre anche le configurazioni che potrebbero non averla ricevuta.
L’ultimo aggiornamento di Firefox completa una risposta d’emergenza iniziata nel fine settimana. Mozilla afferma di aver bloccato otto certificati intermedi eMudhra compromessi il 17 ottobre; Firefox 158.0.1, pubblicato il 20 ottobre, incorpora l’elenco di blocco per le installazioni che non potevano riceverlo a distanza.
La distinzione conta. Con le impostazioni standard, Firefox non ha dovuto aspettare martedì per ricevere la protezione. La nuova versione raggiunge anche le configurazioni nelle quali un criterio aziendale o una limitazione di rete può aver interrotto il canale di distribuzione più rapido.
Il rischio era una falsa identità
Secondo il resoconto dell’incidente pubblicato da Mozilla, le chiavi private esposte avrebbero potuto consentire l’emissione di certificati HTTPS fraudolenti. Un aggressore in grado di intercettare una connessione avrebbe così potuto impersonare un sito e potenzialmente leggere o modificare il traffico. Il comunicato non afferma che tutti gli utenti Firefox siano stati intercettati; il possesso di una chiave, da solo, non dimostra la compromissione di una specifica sessione.
Il problema riguarda il controllo dell’identità che precede la fiducia nella connessione. Cifrare una conversazione serve meno se il browser ha accettato un impostore come interlocutore. La revoca esclude le credenziali compromesse da quelle accettabili: non ripara la chiave sottratta e non annulla retroattivamente un attacco.
Un piccolo cambio di versione da non ignorare
Le note di Firefox 158.0.1 comprendono anche correzioni quotidiane: lo scorrimento indesiderato durante la selezione del testo, un arresto anomalo della stampa su Windows in presenza di tecnologie assistive, finestre aperte sul monitor sbagliato in Linux e un problema di trascinamento dei file su macOS. Sicurezza e affidabilità arrivano nello stesso aggiornamento minore.
Per un’organizzazione, il numero di versione racconta quindi solo una parte dell’urgenza. Bloccare le impostazioni remote può essere una scelta deliberata, ma comporta che l’applicazione installata debba includere modifiche ricevute in background dagli altri utenti. Gli amministratori devono verificare il percorso di distribuzione effettivamente consentito.
Mozilla ha annunciato anche versioni ESR corrispondenti e una modifica separata all’archivio di fiducia NSS. Sono canali distinti: un’applicazione che usa dati sui certificati derivati da Mozilla non riceve necessariamente gli aggiornamenti in background di Firefox. Su ogni sistema gestito bisogna capire quale componente decide di quali certificati fidarsi.
Controllare il browser che si usa davvero
Le istruzioni ufficiali per l’aggiornamento spiegano come verificare la finestra Informazioni su Firefox e riavviare quando la nuova versione è pronta. Le installazioni fornite da una distribuzione Linux o gestite dal datore di lavoro possono seguire un meccanismo proprio. Va usato quel canale, evitando presunte correzioni suggerite da messaggi non richiesti.
È una precauzione pertinente anche per chi usa Firefox in Italia. Come per la privacy nel browser, conta il comportamento consentito da un’impostazione, non soltanto il suo nome. In questo caso un canale silenzioso ha distribuito la protezione d’emergenza e la nuova versione ne offre un secondo. Resta un controllo concreto: assicurarsi che il Firefox aperto ogni giorno abbia ricevuto almeno uno dei due.
