Aggiornamento Firefox 158.0.1: quattro falle corrette e blocco eMudhra
Mozilla ha rilasciato Firefox 158.0.1, offerto agli utenti del canale Release dal 20 ottobre 2026. Corregge quattro vulnerabilità: due di impatto alto, una moderata e una bassa. Include anche l’elenco OneCRL aggiornato, che blocca alcuni certificati intermedi eMudhra compromessi.
Lo spiega Mozilla nell’advisory MFSA 2026-111, annunciato il 20 ottobre, che indica un impatto complessivo alto.
Il blocco dei certificati eMudhra anche senza Remote Settings
Mozilla ha bloccato i certificati intermedi eMudhra compromessi tramite OneCRL il 17 ottobre. Il blocco è arrivato ai client lo stesso giorno attraverso Remote Settings.
La 158.0.1 porta l’elenco OneCRL aggiornato dentro il browser. Così i certificati restano bloccati anche quando Remote Settings è disattivato da una policy o non è raggiungibile nella rete dell’utente. Lo confermano anche le note di rilascio di Firefox 158.0.1.
Secondo Mozilla, quindi, la 158.0.1 include l’elenco OneCRL aggiornato e garantisce il blocco dei certificati compromessi anche per chi usa Firefox con Remote Settings disabilitato.
Le quattro vulnerabilità corrette
L’advisory elenca per ogni bug un identificativo, il componente, l’impatto, chi l’ha segnalato e il numero di bug.
| CVE | Componente e problema | Impatto | Segnalata da | Bug |
|---|---|---|---|---|
| CVE-2026-113399 | SVG, condizioni di confine errate | Alto | Mozilla | 2079938 |
| CVE-2026-113470 | Security Block-lists, Allow-lists e altro stato, problema crittografico | Alto | Wayne | 2083382 |
| CVE-2026-113400 | Audio/Video: cubeb, memoria non inizializzata | Moderato | Mozilla | 2061768 |
| CVE-2026-113401 | PDF Viewer, denial of service | Basso | Ahmed Hesham | 2073714 |
La vulnerabilità legata al blocco dei certificati è la CVE-2026-113470: è lì che Mozilla inserisce la descrizione del blocco eMudhra. Le note di rilascio parlano anche di «various security fixes», senza altri dettagli.
Un advisory per ogni bug
Mozilla segnala di aver cambiato il modo in cui pubblica gli advisory. Non riunisce più in un solo CVE tutte le vulnerabilità di sicurezza della memoria trovate internamente: emette un advisory per ogni singolo bug.
Le altre correzioni della 158.0.1
Le note di rilascio elencano anche problemi non legati alla sicurezza:
- pagine che tornavano in cima da sole mentre si selezionava il testo;
- crash su Windows durante la stampa o il salvataggio in PDF con uno screen reader o altra tecnologia assistiva attiva;
- finestre aperte sul monitor sbagliato su Linux, con più schermi;
- VPN integrata che per alcuni utenti non si attivava;
- file trascinati da altre applicazioni che su macOS non venivano rilasciati sulla pagina.
