Firefox 158.0.1, Firefox ESR 153.5.1 и Firefox ESR 115.43.1 закрывают четыре уязвимости, о которых Mozilla сообщила 20 октября 2026 года. Главная по значимости - CVE-2026-113470. Браузер сохраняет доверие к скомпрометированным промежуточным сертификатам удостоверяющего центра eMudhra, если список отзыва не доставлен по сети. Затронуты пользователи, чьи защищённые соединения опираются на цепочку этого центра, и организации, отключившие доставку настроек групповой политикой. Воздействие вендор оценил как высокое, но не привёл ни оценку CVSS, ни вектор атаки. Три остальные уязвимости относятся только к основной ветке.
Скомпрометированные сертификаты eMudhra и три ошибки в Firefox 158.0.1
Промежуточный сертификат - звено цепочки доверия, которое удостоверяющий центр выдаёт для выпуска сертификатов конечных сайтов. Компрометация такого звена позволяет выпускать сертификаты для любого домена, и браузер считает их валидными. Mozilla внесла скомпрометированные промежуточные сертификаты eMudhra в OneCRL, собственный список отзыва, который браузер проверяет дополнительно к стандартным механизмам. 17 октября этот список ушёл клиентам через RemoteSettings, сервис доставки конфигурационных данных. Однако при отключении доставки политикой или при недоступности сервиса в сети организации блокировка не применялась. Сборка 158.0.1 включает обновлённый список в состав дистрибутива, поэтому проверка срабатывает и без обращения к сети. Вектор атаки здесь сетевой, аутентификация не нужна. Владелец ключа скомпрометированного промежуточного сертификата выпускает сертификат на чужой домен и перехватывает трафик между клиентом и сайтом. Сведений об эксплуатации в реальных атаках вендор не публикует.
Ошибки в SVG, аудиокомпоненте и просмотрщике PDF
Высокую оценку получила и CVE-2026-113399 - неверные граничные условия в компоненте SVG, который отвечает за векторную графику. Ошибку нашли внутри Mozilla. Вторая уязвимость, CVE-2026-113400, связана с неинициализированной памятью в компоненте cubeb, обслуживающем аудио и видео; уровень воздействия умеренный. Третья, CVE-2026-113401, ведёт к отказу в обслуживании в просмотрщике PDF, уровень низкий, автор сообщения - Ahmed Hesham. Для всех трёх случаев в бюллетене нет ни вектора атаки, ни данных об эксплуатации. Сценарий для SVG и просмотрщика PDF предполагает открытие подготовленной страницы или файла, то есть действие со стороны пользователя.
Версии исправлений и обходные меры
Исправления вышли 20 октября 2026 года. Основная ветка получает Firefox 158.0.1, ветки с долгим сроком поддержки - Firefox ESR 153.5.1 и Firefox ESR 115.43.1. Третий разряд в номере версии указывает на внеплановый выпуск поверх 158.0. В бюллетенях ESR стоит единственный идентификатор CVE-2026-113470, потому что три остальные ошибки к этим веткам не относятся. Раскладка оценок такая: две записи высокого уровня, одна умеренная и одна низкая. Отдельным примечанием Mozilla сообщила о смене практики публикации: внутренние ошибки безопасности памяти больше не сводят в один CVE с общей оценкой, каждый дефект получает отдельный номер. Ранее такие наборы описывали одной записью с усреднённой оценкой.
Обновить Firefox до 158.0.1, а ветки ESR - до 153.5.1 или 115.43.1. Проверить, не отключена ли доставка RemoteSettings групповой политикой: при выключенном сервисе актуальный список отзыва приходит только со сборкой. Для хостов без выхода в интернет обновление остаётся единственным способом получить OneCRL с заблокированными сертификатами eMudhra.
Значимость CVE-2026-113470 определяется состоянием конкретного клиента, а не сложностью атаки. Браузер с отключённой доставкой настроек сохраняет доверие к скомпрометированной цепочке до установки сборки со встроенным списком отзыва.
Ссылки
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-111/
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-112/
- https://www.mozilla.org/en-US/security/advisories/mfsa2026-113/
