Actualizado: 27/10/2026. Mozilla ofrece varias vías de protección tras el compromiso de certificados intermedios eMudhra. Hay que distinguir la lista automática, la lista incluida y la corrección de inicio de Android; no desactive la validación de certificados.
Identificar la instalación
Para usuarios de Firefox y equipos administrados: las notas de escritorio 158.0.1 del 20/10 describen una lista OneCRL incluida para clientes donde políticas o problemas de red impiden Remote Settings [1]. Android 158.0.2 del 21/10 corrige además la instalación de la lista predistribuida al iniciar [2]. CVE-2026-113470 tiene impacto alto [3]. No traslade la versión Android al escritorio ni a iOS. Mozilla fecha el incidente el 17 de octubre. Su blog de seguridad del día 20, actualizado el 21, diferencia la distribución normal de OneCRL de las actualizaciones adicionales. También enumera ESR 115.43.1 y 153.5.1 como correcciones publicadas entonces. Si utiliza ESR, no cambie a Release por este artículo: confirme con TI el canal actualmente compatible con su plataforma [5].
Preparación sin pérdida de datos
Necesita consultar la versión y usar el canal de actualización autorizado; en equipos administrados, contacte con TI. Guarde el trabajo y compruebe las copias del perfil o las opciones de recuperación. La comprobación inicial no requiere reinstalar, restablecer el perfil ni importar certificados.
Cinco comprobaciones seguras
- Anote sistema operativo, canal y versión en ejecución. En escritorio consulte Ayuda → Acerca de Firefox; en Android, la información de la aplicación. Distinga ESR, Release, Beta y otras aplicaciones basadas en Mozilla.
- Use el actualizador oficial o el gestor de paquetes/despliegue de TI correspondiente. En Android, utilice la tienda de confianza o el distribuidor administrado existente. 158.0.1 y Android 158.0.2 son las versiones correctoras documentadas, no una razón para omitir actualizaciones de seguridad posteriores autorizadas [1][2].
- Complete la actualización y reinicie Firefox normalmente tras guardar el trabajo. La corrección Android aplica la lista OneCRL incluida al arrancar; una ficha de la tienda no verifica la versión realmente ejecutada [2].
- No desactive Remote Settings, validación de certificados ni políticas empresariales como prueba. Consulte a TI si falla el canal habitual. No importe raíces desconocidas ni eluda advertencias mediante excepciones.
- Tras reiniciar, confirme versión y finalización. Abra normalmente una página HTTPS conocida y fiable. Si persiste una advertencia de certificado, deténgase y comunique a TI nombre del servidor, hora y código exacto, sin parámetros confidenciales del URL. No introduzca credenciales.
Verificación y recuperación
El éxito comprobable consiste en ejecutar la versión autorizada prevista y completar la actualización. Una página sin errores no demuestra que se bloqueen todas las cadenas comprometidas. No hemos realizado pruebas controladas de revocación. No vuelva a un navegador antiguo inseguro; conserve los datos, pause el uso productivo si procede y acuerde una recuperación compatible con TI.
Límites
OneCRL puede distribuir revocaciones sin una actualización completa del navegador [4]. La lista incluida cubre otra vía, no todas las correcciones futuras ni otros navegadores, bibliotecas TLS o servidores. Un candado no acredita seguridad completa. Guía documental, sin prueba propia de Firefox/Android ni enlaces de afiliados.