Firefox per Android 158.0.2 blocca i certificati eMudhra all’avvio
Chi usa Firefox per Android deve aggiornare alla versione 158.0.2. Secondo le note di rilascio di Mozilla, la versione è stata offerta per la prima volta agli utenti del canale Release il 21 ottobre 2026. La correzione assicura che la lista di blocco OneCRL, già inclusa nell’app, sia installata all’avvio. Riduce così la finestra di esposizione alla vulnerabilità CVE-2026-113470.
Cosa corregge la 158.0.2
La nota di rilascio elenca una sola correzione, quella legata a CVE-2026-113470. Mozilla spiega che l’obiettivo è ridurre il tempo in cui Firefox per Android resta vulnerabile, facendo installare all’avvio la lista di blocco OneCRL predistribuita.
Per i dettagli sulla falla bisogna guardare l’avviso di sicurezza MFSA 2026-111, pubblicato da Mozilla il 20 ottobre 2026. L’avviso è intitolato a Firefox 158.0.1 e descrive CVE-2026-113470. La versione 158.0.2 è il rilascio che la affronta su Android.
Secondo l’avviso, l’aggiornamento 158.0.1 contiene la lista OneCRL aggiornata, così che i client blocchino i certificati compromessi anche se RemoteSettings è disattivato da policy o non è raggiungibile nella rete dell’utente.
Il problema: certificati intermedi eMudhra compromessi
Secondo l’avviso di Mozilla, CVE-2026-113470 è un problema crittografico nel componente Security Block-lists, Allow-lists, and other State. Mozilla ne valuta l’impatto come «high».
Sempre secondo l’avviso, il 17 ottobre Mozilla ha bloccato tramite OneCRL i certificati intermedi eMudhra compromessi. Il blocco è stato distribuito ai client via RemoteSettings lo stesso giorno. Il rischio riguarda quindi i dispositivi in cui RemoteSettings non arriva, per scelta di policy o per limiti della rete, e che prima non ricevevano la lista aggiornata.
- Versione che contiene la correzione per Android: Firefox per Android 158.0.2.
- Gravità dichiarata da Mozilla: «high».
- Componente interessato: Security Block-lists, Allow-lists, and other State.
- Data di rilascio: 21 ottobre 2026, canale Release.
Chi l’ha segnalata
L’avviso indica come segnalatore di CVE-2026-113470 Wayne. Le fonti non danno altri dettagli sulla scoperta.
Ne avevamo parlato il 20 ottobre, a proposito della versione per desktop, nel pezzo Aggiornamento Firefox 158.0.1: quattro falle corrette e blocco eMudhra.
