Firefox bloqueó en menos de tres horas ocho certificados intermedios de eMudhra cuyas claves privadas habían quedado comprometidas. Mozilla lo contó el martes 20 de octubre en una entrada de su blog de seguridad, firmada por el equipo de seguridad del navegador: el aviso le llegó el sábado 17 de octubre a las 20:06 UTC (las 22:06, hora peninsular española), y a las 22:59 UTC de ese mismo día (las 00:59 del domingo 18, hora peninsular) la protección ya estaba distribuida a todos los usuarios con la configuración estándar.
La organización describe así el riesgo: con esas claves, un atacante podría emitir certificados HTTPS fraudulentos para webs que están fuera de su control. Si además pudiera interceptar la conexión de un usuario, esos certificados le servirían para suplantar las webs y, potencialmente, leer o modificar el tráfico.
Un bloqueo que llega sin actualizar ni reiniciar
Los ingenieros respondieron de inmediato y bloquearon los certificados afectados con OneCRL, la lista centralizada de certificados revocados que mantiene la organización. Esa vía hace llegar la protección al navegador sin que el usuario tenga que actualizarlo ni reiniciarlo. El aviso de seguridad lo precisa: el bloqueo se aplicó el 17 de octubre y se distribuyó ese mismo día a los clientes mediante Remote Settings.
Queda una minoría de usuarios cuyos ajustes personalizados pueden haber impedido que les llegara esa actualización de OneCRL. Para ellos salieron el martes 20 de octubre Firefox 158.0.1 para escritorio y las versiones de soporte extendido Firefox ESR 115.43.1 y Firefox ESR 153.5.1, que reparten la misma protección. Con la lista de bloqueo actualizada dentro, el navegador bloqueará los certificados comprometidos aunque Remote Settings esté desactivado por una directiva o resulte inaccesible en la red del usuario.
Hay una tercera medida. La organización actualiza también la lista de certificados de confianza de NSS, con NSS 3.131.1, para retirar el certificado raíz que firmó los intermedios afectados. Firefox ya está protegido por OneCRL; este cambio añadido sirve para proteger a otras aplicaciones que usan el almacén de confianza de la organización, o versiones derivadas de él, y que se quedan fuera de las actualizaciones de OneCRL.
La entrada se cierra con un compromiso: «La transparencia es esencial para la confianza», y la organización compartirá más información en cuanto las circunstancias lo permitan. Antes recuerda que, a su juicio, todo el mundo tiene un derecho fundamental a la seguridad y la privacidad en internet, y que seguirá defendiéndolo con rapidez para proteger a los usuarios.
Cuatro fallos en el aviso de seguridad
El incidente figura también en el aviso de seguridad MFSA 2026-111, anunciado el martes 20 de octubre para Firefox 158.0.1 y con impacto alto. Le corresponde el CVE-2026-113470, catalogado como un problema criptográfico en el componente de listas de bloqueo, listas de permitidos y otros estados de seguridad, también de impacto alto y con el número de error 2083382; lo notificó Wayne. Su descripción repite lo esencial: el bloqueo con OneCRL del 17 de octubre, el reparto por Remote Settings ese mismo día y la lista incluida en la versión para quien tenga ese canal desactivado.
El aviso recoge otros tres fallos. El CVE-2026-113399, de impacto alto y detectado por la propia organización, son unas condiciones de límite incorrectas en el componente SVG (error 2079938). El CVE-2026-113400, moderado y también interno, es memoria sin inicializar en cubeb, dentro del componente de audio y vídeo (error 2061768). El CVE-2026-113401, de impacto bajo y notificado por Ahmed Hesham, es una denegación de servicio en el visor de PDF (error 2073714).
| CVE | Componente | Impacto |
|---|---|---|
| CVE-2026-113399 | SVG | Alto |
| CVE-2026-113470 | Listas de bloqueo | Alto |
| CVE-2026-113400 | Audio y vídeo (cubeb) | Moderado |
| CVE-2026-113401 | Visor de PDF | Bajo |
El propio aviso explica un cambio en la forma de publicarlos: la organización emite ahora un aviso por cada error, en lugar de reunir en un único CVE todos los fallos de seguridad de memoria que identifica internamente.
Lo que corrige Firefox 158.0.1
Las notas de versión fechan su llegada: la 158.0.1 se ofreció por primera vez a los usuarios del canal estable el martes 20 de octubre. La primera corrección de la lista es la de OneCRL, y le siguen cinco más. Las páginas dejan de volver inesperadamente arriba al seleccionar texto. En Windows desaparece un cierre inesperado al imprimir o guardar una página como PDF con un lector de pantalla u otra tecnología de asistencia en marcha. En Linux, el navegador vuelve a abrir las ventanas en el monitor correcto en los equipos con varias pantallas. Se arregla un problema que podía impedir a algunos usuarios activar la VPN integrada. Y en macOS, los ficheros arrastrados desde otras aplicaciones vuelven a soltarse sobre la página. La lista termina con varias correcciones de seguridad.
Qué es OneCRL, contado en 2015
El mecanismo que ha cortado el paso a estos certificados tiene ya once años. El equipo de seguridad lo presentó el martes 3 de marzo de 2015, en una entrada firmada por Mark Goodwin, como una función que protegería a los usuarios a partir de Firefox 37: una forma de enviar al navegador listas de certificados intermedios revocados. La organización explicaba entonces que comprobar la revocación con OCSP servía mal a los usuarios: o el sistema da por buena la conexión cuando la comprobación falla, o se acepta la penalización de rendimiento de unas comprobaciones más estrictas, como pasaba con los certificados EV. El grapado OCSP puede ahorrar las comprobaciones en vivo, pero en aquel momento lo usaba solo alrededor del 9 % de las conexiones TLS.
En 2015, ante un incidente grave que obligara a revocar certificados, la respuesta era publicar una actualización del navegador, algo lento porque los usuarios tardan en recibirla y en reiniciar, y con un coste de producirla y de descargarla. OneCRL amplió la lista de bloqueo que Firefox ya consultaba periódicamente, la de complementos, módulos y controladores gráficos defectuosos, para meter en ella los certificados que debían revocarse. Así, la información de revocación llegaba fresca sin actualizar ni reiniciar. La otra gran ventaja era la velocidad: con los certificados cubiertos por OneCRL sobran las consultas OCSP en vivo, y la comprobación se hace sin latencia añadida.
En aquella primera versión, OneCRL cubría solo certificados intermedios de autoridades de certificación, para limitar el tamaño de la lista, y se actualizaba cuando una autoridad del programa de certificados raíz de la organización avisaba de que había que revocar uno. Once años después, es la herramienta con la que el navegador ha bloqueado los ocho intermedios comprometidos en menos de tres horas.
Te puede interesar
Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.
| Imagen | Producto | Características | Comprar |
|---|---|---|---|
 |
Apple Mac mini M6 | Chip M6 · 16 GB de memoria unificada · tres Thunderbolt 4, HDMI y Ethernet de 2,5 Gb · 12,7 cm de ancho | Ver precio en Amazon |
 |
Beelink MINI-S13 Pro | Intel N150 hasta 3,60 GHz · 16 GB DDR4 y SSD PCIe de 500 GB · 4K a 60 Hz · Wi-Fi 6 y Bluetooth 5.2 | Ver precio en Amazon |
 |
Beelink SER8 | Ryzen 7 8745HS de 8 núcleos y 16 hilos hasta 4,9 GHz · 16 GB DDR5 y 512 GB PCIe 4.0 · Radeon 780M · LAN de 2,5 Gbps | Ver precio en Amazon |
 |
BOSGAME E3 Neo | Intel N95 de cuatro núcleos hasta 3,4 GHz · 16 GB DDR4 y 512 GB SSD · tres salidas 4K · 126 × 112 × 41 mm | Ver precio en Amazon |
Escrito por Eloy Andrade
