Aggiornato: 27/10/2026. Mozilla ha predisposto diverse protezioni dopo la compromissione di certificati intermedi eMudhra. Occorre distinguere lista automatica, lista inclusa e correzione all'avvio di Android, senza disattivare la verifica dei certificati.
Quale installazione?
Per utenti Firefox e postazioni gestite: le note desktop 158.0.1 del 20/10 descrivono una lista OneCRL inclusa per i client dove criteri o rete impediscono Remote Settings [1]. Android 158.0.2 del 21/10 corregge inoltre l'installazione della lista predistribuita all'avvio [2]. CVE-2026-113470 ha impatto alto [3]. Non applicare il numero Android a desktop o iOS. Mozilla colloca l’incidente al 17 ottobre. Il blog sulla sicurezza del 20 ottobre, aggiornato il 21, distingue la distribuzione ordinaria di OneCRL dagli aggiornamenti aggiuntivi. Riporta anche ESR 115.43.1 e 153.5.1 come correzioni pubblicate allora. Chi usa ESR non deve passare a Release per seguire questa guida: verifichi con l’IT il canale attualmente supportato per la propria piattaforma [5].
Preparazione senza perdere dati
Servono accesso alla versione e al canale di aggiornamento autorizzato; coinvolgere l'IT per dispositivi gestiti. Salvare il lavoro e verificare backup del profilo o possibilità di ripristino. Il primo controllo non richiede reinstallazione, ripristino del profilo o importazione di certificati.
Cinque controlli sicuri
- Annotare sistema operativo, canale e versione in esecuzione. Su desktop usare Aiuto → Informazioni su Firefox; su Android le informazioni dell'app. Distinguere ESR, Release, Beta e altre applicazioni basate su Mozilla.
- Usare l'aggiornamento ufficiale o il gestore pacchetti/la distribuzione IT previsti. Su Android usare lo store affidabile o il distributore gestito esistente. 158.0.1 e Android 158.0.2 sono le correzioni documentate, non un motivo per saltare aggiornamenti successivi autorizzati [1][2].
- Completare l'aggiornamento e riavviare normalmente Firefox dopo aver salvato il lavoro. La correzione Android applica la lista OneCRL inclusa all'avvio; la scheda dello store non verifica la versione realmente avviata [2].
- Non disattivare Remote Settings, verifica dei certificati o criteri aziendali per tentativi. Consultare l'IT se il normale canale non è disponibile. Non importare radici sconosciute né aggirare avvisi con eccezioni.
- Dopo il riavvio verificare versione e completamento. Aprire normalmente una pagina HTTPS nota e affidabile. Se persiste un avviso, fermarsi e comunicare all'IT nome host, ora e codice esatto, senza parametri URL riservati. Non inserire credenziali.
Verifica e ripristino
Il risultato verificabile è l'esecuzione della versione autorizzata prevista con aggiornamento completato. Una pagina senza errori non dimostra il blocco di tutte le catene compromesse. Non è stato svolto un test controllato di revoca. Non tornare a un vecchio browser insicuro; conservare i dati, sospendere l'uso produttivo se necessario e concordare un ripristino supportato con l'IT.
Limiti
OneCRL può distribuire revoche senza aggiornare l'intero browser [4]. La lista inclusa copre un'altra via, non tutte le correzioni future né altri browser, librerie TLS o server. Il lucchetto non dimostra una sicurezza completa. Guida documentale, senza prova pratica Firefox/Android né link affiliati.