Firefox 158.0.1 blocca eMudhra: Mozilla corregge la fiducia nei certificati

🐧 Novità principali

• Firefox 158.0.1 blocca i certificati intermedi eMudhra compromessi, integrando una protezione già distribuita il 17 ottobre attraverso OneCRL.
• Mozilla aggiorna anche Firefox ESR 153.5.1 e 115.43.1 per proteggere le installazioni che non ricevono gli aggiornamenti remoti delle liste di revoca.
• Thunderbird 158 migliora Quick Filter, risolve problemi di OpenPGP e corregge anomalie nella sincronizzazione CalDAV e CardDAV e nell’autenticazione SMTP.

Mozilla ha pubblicato Firefox 158.0.1 per impedire al browser di considerare attendibili alcuni certificati intermedi compromessi dell’autorità di certificazione eMudhra, intervenendo su un elemento fondamentale della sicurezza delle connessioni HTTPS. L’aggiornamento del 20 ottobre 2026 incorpora direttamente una protezione già distribuita attraverso il sistema remoto OneCRL, riducendo il rischio per le installazioni che non possono ricevere gli aggiornamenti automatici delle liste di revoca. Il rilascio coincide con le novità di Thunderbird 158, disponibile dal 13 ottobre, che corregge problemi nella ricerca dei messaggi, nella gestione delle chiavi OpenPGP e nella sincronizzazione di rubriche e calendari. I due interventi non riguardano la stessa vulnerabilità, ma confermano l’attenzione di Mozilla verso affidabilità delle comunicazioni, gestione delle identità digitali e sicurezza del software utilizzato quotidianamente.

Firefox 158.0.1 blocca i certificati intermedi eMudhra compromessi

La principale modifica introdotta da Firefox 158.0.1 riguarda la gestione della fiducia nei certificati digitali utilizzati per autenticare i siti web e proteggere le comunicazioni TLS. Mozilla ha inserito nelle proprie liste di blocco i certificati intermedi compromessi riconducibili a eMudhra, società indiana che opera nel settore della certificazione digitale. Il problema è identificato come CVE-2026-113470, classificato con gravità elevata, e riguarda la possibilità che certificati non più considerati affidabili continuino a essere accettati durante la verifica delle connessioni. Un certificato intermedio consente a un’autorità di certificazione di emettere ulteriori attestazioni all’interno di una catena riconosciuta dai browser: se il relativo materiale crittografico viene compromesso, può essere utilizzato per produrre certificati apparentemente legittimi, con potenziali conseguenze per l’autenticazione dei siti e la riservatezza del traffico. Questo rischio non dimostra automaticamente che siano avvenute intercettazioni o emissioni fraudolente, ma giustifica la necessità di interrompere la fiducia nelle chiavi coinvolte. Il precedente dei registri ccTLD compromessi, attraverso i quali erano stati ottenuti certificati HTTPS validi per domini Google, mostra quanto la sicurezza della navigazione dipenda dall’integrità dell’intera infrastruttura di certificazione, non soltanto dalla protezione del browser.

Leggi anche: Brave lancia i Container, Chrome si aggiorna e Mozilla blinda la sicurezza dei certificati web

OneCRL protegge Firefox dal 17 ottobre, ma l’aggiornamento serve anche senza rete

La risposta di Mozilla è iniziata il 17 ottobre 2026, quando i certificati intermedi eMudhra sono stati inseriti in OneCRL, il sistema utilizzato per distribuire ai browser informazioni sulla revoca di certificati non più attendibili. La modifica è stata trasmessa attraverso RemoteSettings, permettendo alle installazioni configurate normalmente di ricevere la protezione senza attendere una nuova versione completa del software. Nell’advisory di sicurezza Mozilla sulla CVE-2026-113470 viene chiarito che Firefox 158.0.1 incorpora direttamente la lista aggiornata, proteggendo anche gli ambienti nei quali RemoteSettings è disabilitato dalle policy aziendali o non può comunicare con l’infrastruttura Mozilla. Lo stesso intervento interessa Firefox ESR 153.5.1 e 115.43.1, versioni destinate agli ambienti che utilizzano cicli di aggiornamento prolungati. La distinzione tra blocco remoto e correzione incorporata è particolarmente importante per imprese, enti pubblici e postazioni amministrate, dove i servizi di aggiornamento dinamico possono essere filtrati o disabilitati per ragioni operative. Il rilascio rappresenta inoltre un nuovo sviluppo rispetto alle funzionalità introdotte con Firefox 158, che aveva concentrato le novità sulla gestione dei PDF e sull’esperienza di navigazione: questa volta la priorità non è aggiungere strumenti, ma impedire che il browser riconosca credenziali crittografiche considerate compromesse.

Thunderbird 158 rende Quick Filter più veloce e corregge gli errori di ricerca

Sul versante della posta elettronica, Thunderbird 158 introduce un miglioramento della reattività di Quick Filter, la funzione che consente di restringere rapidamente l’elenco dei messaggi attraverso parole chiave e criteri di ricerca. Le modifiche riducono le attese durante il filtraggio, soprattutto quando vengono esaminati i contenuti dei messaggi, e correggono un problema che impediva di trovare nomi contenenti caratteri accentati quando la ricerca veniva effettuata senza accenti. Nelle note ufficiali di rilascio di Thunderbird 158 gli sviluppatori documentano anche la risoluzione di un crash durante la ricerca nel corpo delle email e un’anomalia che poteva provocare l’invio duplicato dei messaggi quando l’utente manteneva premuta la combinazione Ctrl+Invio. Migliorano inoltre la gestione degli allegati scollegati, la visualizzazione delle cartelle unificate e il comportamento dei menu contestuali sulle immagini incorporate. L’aggiornamento prosegue il lavoro sulla produttività e sulle configurazioni professionali già introdotto con Thunderbird 157, che aveva rafforzato le funzionalità amministrative e le policy aziendali. Il vantaggio principale della versione 158 non consiste in una nuova interfaccia, ma nella riduzione degli errori che interrompono le operazioni quotidiane di ricerca, consultazione e invio della corrispondenza.

OpenPGP, CalDAV e CardDAV: Thunderbird corregge le funzioni più delicate

Le altre modifiche di Thunderbird 158 interessano componenti particolarmente importanti negli ambienti professionali. OpenPGP riceve correzioni relative allo sblocco delle chiavi, alla gestione degli handle e allo stato di protezione, insieme a miglioramenti nella finestra utilizzata per amministrare le password dei backup crittografici. Sul fronte della sincronizzazione, il programma risolve problemi che potevano provocare la perdita delle credenziali CalDAV e CardDAV dopo un riavvio, impedire l’aggiornamento dei contatti o alterare i timestamp REV delle vCard. Vengono inoltre corretti gli errori di autenticazione SMTP Kerberos con STARTTLS su Linux, le richieste ripetute di connessione degli account POP quando l’applicazione viene avviata offline e un problema relativo all’accesso SSO dei servizi Matrix. La gestione delle eccezioni per i contenuti remoti viene resa più coerente: alcune regole prive di schema non si applicavano correttamente a HTTPS, mentre altre accettavano impropriamente nomi host con caratteri jolly. Sono interventi rilevanti per chi utilizza Thunderbird come client aziendale, perché credenziali, rubriche condivise e cifratura costituiscono componenti essenziali dei processi di comunicazione. Il rilascio consolida il percorso avviato con Thunderbird 156 e le precedenti modifiche alla gestione degli account e dell’autenticazione, senza introdurre cambiamenti incompatibili con i normali flussi di lavoro.

Continua con:

Firefox 156.0.1 corregge blocchi CSS, accessibilità e leak di handle su Windows

Steam Deck OLED riceve lo streaming HDR, Thunderbird 155 apre OAuth e Audacity supporta FFmpeg 9

Firefox e Thunderbird, perché aggiornare subito anche su Linux

Per gli utenti Firefox, il passaggio alla versione 158.0.1 è raccomandato soprattutto quando il browser viene utilizzato in ambienti aziendali con policy personalizzate o con accesso limitato ai servizi Mozilla, perché incorpora una protezione che potrebbe non essere stata ricevuta attraverso OneCRL. Gli amministratori devono verificare anche le installazioni ESR e le versioni distribuite mediante repository Linux, tenendo presente che gli aggiornamenti possono arrivare con tempi differenti a seconda della distribuzione. Thunderbird 158 richiede invece un controllo sulle versioni effettivamente installate e sulle modalità di distribuzione adottate dall’organizzazione: le correzioni sono particolarmente utili per chi utilizza OpenPGP, autenticazione Kerberos, rubriche CardDAV e calendari CalDAV. Non esistono elementi sufficienti per sostenere che la compromissione eMudhra abbia provocato violazioni degli account Thunderbird o sottrazioni di messaggi, e i due rilasci devono essere considerati distinti anche nella valutazione dei rischi. La conseguenza più importante riguarda il modello di fiducia del software: Firefox deve poter riconoscere tempestivamente quando un certificato non è più affidabile, mentre Thunderbird deve garantire che credenziali e funzioni di comunicazione rimangano coerenti e disponibili. Mozilla interviene su entrambi i fronti, privilegiando protezione e stabilità rispetto all’introduzione di nuove funzionalità.