Firefox e eMudhra: verificar a proteção de certificados no Android e no computador

Atualizado em 27/10/2026. Após o comprometimento de certificados intermediários eMudhra, a Mozilla disponibilizou diferentes vias de proteção. É preciso distinguir a lista distribuída automaticamente, a lista incluída e a correção de arranque no Android, sem desativar a validação de certificados.

Qual instalação?

Para utilizadores do Firefox e postos geridos: as notas da versão desktop 158.0.1 de 20/10 descrevem uma lista OneCRL incluída para clientes onde políticas ou a rede impedem o Remote Settings [1]. O Firefox para Android 158.0.2 de 21/10 também corrige a instalação da lista pré-distribuída no arranque [2]. O aviso CVE-2026-113470 tem gravidade elevada [3]. A versão Android não deve ser aplicada ao desktop ou iOS. A Mozilla situa o incidente em 17 de outubro. O blogue de segurança de 20 de outubro, atualizado no dia 21, distingue a distribuição normal de OneCRL das atualizações adicionais. Também indica ESR 115.43.1 e 153.5.1 como correções disponibilizadas então. Quem usa ESR não deve mudar para Release por causa deste guia: deve confirmar com a equipa de TI o canal atualmente suportado para a sua plataforma [5].

Preparação sem perda de dados

É necessário consultar a versão e dispor do canal de atualização autorizado; envolva a equipa de TI nos dispositivos geridos. Guarde o trabalho aberto e verifique as cópias de segurança ou opções de recuperação do perfil. Esta primeira verificação não exige reinstalação, reposição do perfil ou importação de certificados.

Cinco verificações seguras

  1. Registe sistema operativo, canal e versão em execução. No computador consulte Ajuda → Acerca do Firefox; no Android, as informações da aplicação. Distinga ESR, Release, Beta e outras aplicações baseadas na Mozilla.
  2. Utilize o atualizador oficial ou, no computador gerido, o gestor de pacotes ou a distribuição de TI. No Android use a loja de confiança ou a distribuição gerida existente. 158.0.1 e Android 158.0.2 são as correções documentadas, não um motivo para ignorar atualizações posteriores autorizadas [1][2].
  3. Conclua a atualização e reinicie normalmente o Firefox, depois de guardar o trabalho. A correção Android aplica a lista OneCRL incluída no arranque; a versão apresentada na loja não comprova a versão realmente iniciada [2].
  4. Não desative Remote Settings, validação de certificados ou políticas da organização para experimentar. Consulte a TI se o canal habitual não estiver acessível. Não importe raízes desconhecidas nem ultrapasse avisos com exceções.
  5. Após reiniciar, confirme versão e conclusão da atualização. Abra normalmente uma página HTTPS conhecida e fiável. Se persistir um aviso de certificado, pare e comunique à TI o nome do servidor, hora e código de erro exato, sem parâmetros confidenciais do URL. Não introduza credenciais.

Validação e recuperação

O resultado verificável é a execução da versão autorizada pretendida e a atualização concluída. Uma página que abre sem erro não prova o bloqueio de todas as cadeias comprometidas. Não realizámos um teste controlado de revogação. Não regresse a uma versão antiga insegura; preserve os dados, suspenda o uso produtivo se necessário e combine uma recuperação suportada com a TI.

Limites

A OneCRL distribui revogações sem exigir uma atualização completa do navegador [4]. A lista incluída cobre outra via de distribuição, não todas as correções futuras nem outros navegadores, bibliotecas TLS ou servidores. Um cadeado não demonstra segurança completa. Guia baseado em fontes, sem teste próprio de Firefox/Android e sem ligações de afiliados.