Mise à jour : 27/10/2026. Mozilla propose plusieurs voies de protection après la compromission de certificats intermédiaires eMudhra. Il faut distinguer la liste automatique, la liste intégrée et la correction du démarrage sur Android, sans désactiver la validation des certificats.
Quelle installation ?
Pour les utilisateurs de Firefox et les postes administrés : les notes de la version bureau 158.0.1 du 20/10 décrivent une liste OneCRL intégrée lorsque des stratégies ou le réseau empêchent Remote Settings [1]. Android 158.0.2 du 21/10 corrige aussi l'installation de la liste prédistribuée au démarrage [2]. L'avis CVE-2026-113470 indique un impact élevé [3]. Ne transposez pas le numéro Android au bureau ou à iOS. Mozilla date l’incident du 17 octobre. Son billet de sécurité du 20 octobre, complété le 21, distingue la distribution habituelle de OneCRL des mises à jour supplémentaires. Il cite également ESR 115.43.1 et 153.5.1 comme correctifs publiés à cette date. Avec ESR, ne passez pas à Release pour suivre ce guide : vérifiez avec le service informatique le canal actuellement pris en charge pour votre plateforme [5].
Préparer sans perdre de données
Il faut pouvoir consulter la version et utiliser le canal de mise à jour autorisé ; sollicitez l'équipe informatique pour un appareil administré. Enregistrez le travail ouvert et vérifiez sauvegardes du profil ou possibilités de récupération. Cette première vérification ne demande ni réinstallation, ni réinitialisation du profil, ni importation de certificat.
Cinq vérifications sûres
- Notez système, canal et version exécutée. Sur ordinateur, consultez Aide → À propos de Firefox ; sur Android, les informations de l'application. Distinguez ESR, Release, Beta et les autres applications fondées sur Mozilla.
- Utilisez la mise à jour officielle ou le gestionnaire de paquets/déploiement informatique adapté. Sur Android, passez par la boutique de confiance ou le distributeur administré habituel. 158.0.1 et Android 158.0.2 sont les versions correctrices documentées, pas une raison d'ignorer les mises à jour ultérieures autorisées [1][2].
- Terminez la mise à jour puis redémarrez normalement Firefox après avoir enregistré votre travail. La correction Android applique la liste OneCRL intégrée au démarrage ; la fiche de la boutique ne confirme pas la version réellement lancée [2].
- Ne désactivez pas Remote Settings, la validation des certificats ou les stratégies d'entreprise pour essayer. Consultez l'informatique si le canal normal est inaccessible. N'importez pas de racines inconnues et ne contournez pas les avertissements par une exception.
- Après redémarrage, vérifiez version et fin de mise à jour. Ouvrez normalement une page HTTPS connue et fiable. Si un avertissement de certificat persiste, arrêtez-vous et transmettez nom d'hôte, heure et code d'erreur exact à l'informatique, sans paramètres d'URL confidentiels. Ne saisissez pas d'identifiants.
Vérification et récupération
La réussite vérifiable signifie que la version autorisée souhaitée fonctionne et que la mise à jour est terminée. Une page chargée sans erreur ne prouve pas le blocage de toutes les chaînes compromises. Aucun test contrôlé de révocation n'a été réalisé ici. Ne revenez pas à une ancienne version vulnérable ; préservez les données, suspendez l'usage productif si nécessaire et organisez une récupération prise en charge.
Limites
OneCRL peut distribuer les révocations sans mise à jour complète du navigateur [4]. La liste intégrée couvre un autre canal, pas tous les correctifs futurs ni les autres navigateurs, bibliothèques TLS ou serveurs. Un cadenas ne démontre pas une sécurité complète. Guide documentaire, sans essai personnel Firefox/Android ni liens affiliés.