A Mozilla bloqueou em 17 de outubro de 2026 certificados ligados a chaves comprometidas da autoridade certificadora eMudhra. Essas chaves poderiam ser usadas para criar certificados HTTPS fraudulentos e imitar sites que os invasores não controlavam.
A proteção chegou automaticamente à maioria das instalações padrão do Firefox, sem exigir reinicialização. Mesmo assim, a empresa lançou versões atualizadas para alcançar ambientes com configurações especiais e corrigiu uma falha adicional no aplicativo para Android.
O caso não significa que todo site com HTTPS ficou inseguro nem comprova que dados de usuários foram roubados. A medida prática é conferir a versão do navegador e instalar a atualização oferecida pelo canal oficial.
O que aconteceu com os certificados da eMudhra?
A Mozilla recebeu o relato de que chaves privadas associadas a oito certificados intermediários da eMudhra haviam sido comprometidas. Certificados intermediários participam da cadeia usada pelo navegador para decidir se a identidade apresentada por um site é confiável.
Com essas chaves, um invasor poderia emitir certificados falsos para domínios alheios. Segundo o comunicado da equipe de segurança do Firefox, o ataque também exigiria capacidade de interceptar a conexão da vítima.
Nesse cenário, seria possível imitar um site e tentar ler ou modificar o tráfego. A publicação descreve uma possibilidade técnica e a resposta preventiva, mas não afirma que todos os usuários do navegador foram atacados.
O Firefox já bloqueou o risco automaticamente?
Sim, para instalações com configuração padrão. A Mozilla colocou os certificados afetados na OneCRL, sua lista centralizada de revogação, e distribuiu o bloqueio pelo sistema de configurações remotas do navegador.
A empresa informa que recebeu o alerta às 20h06 UTC de 17 de outubro e concluiu a distribuição às 22h59 UTC. Portanto, a proteção principal chegou em menos de três horas, sem atualização manual ou reinício.
Há uma exceção importante: políticas corporativas, redes restritas ou preferências personalizadas podem impedir o recebimento das configurações remotas. As versões posteriores incorporam o bloqueio e reduzem a dependência desse mecanismo.
Quais versões do Firefox trazem a proteção?
No computador, a proteção foi incorporada ao Firefox 158.0.1. A Mozilla também publicou as versões ESR 115.43.1 e 153.5.1 para organizações e usuários que permanecem nos ciclos de suporte estendido.
As notas oficiais da versão 158.0.1 explicam que o pacote garante o bloqueio mesmo quando o serviço Remote Settings está desativado por política ou indisponível na rede.
No Android, a recomendação prática é instalar o Firefox 158.0.2 ou uma versão posterior. A atualização de 21 de outubro corrigiu um problema que podia atrasar a aplicação da lista OneCRL já incluída durante a inicialização do aplicativo.
Como verificar e atualizar o Firefox no computador?
Abra o menu do Firefox, entre em “Ajuda” e selecione “Sobre o Firefox”. A janela mostra a versão instalada, procura uma atualização disponível e inicia o download automaticamente quando o navegador foi instalado pelo pacote da Mozilla.
Depois da instalação, feche e abra o navegador se ele solicitar. Em distribuições Linux, a atualização pode ser administrada pelo gerenciador de pacotes do sistema, e computadores corporativos podem seguir o calendário definido pela equipe de tecnologia.
Não baixe um suposto instalador recebido por anúncio, mensagem ou janela inesperada. O caminho seguro é usar o atualizador interno, o repositório oficial do sistema ou o site verdadeiro da Mozilla.
O que usuários do Firefox para Android devem fazer?
Abra a Google Play, procure o Firefox e toque em atualizar caso o botão esteja disponível. Dentro do aplicativo, o número da versão pode ser consultado no menu de três pontos, em “Configurações” e “Sobre o Firefox”.
A versão 158.0.2 para Android foi publicada especificamente para reduzir a janela de exposição ligada à aplicação da lista de bloqueio na abertura do navegador.
Se a loja ainda não oferecer a versão, aguarde a distribuição oficial e mantenha as atualizações automáticas ativas. Evite arquivos APK enviados por terceiros, mesmo que a mensagem use o incidente como justificativa urgente.
O cadeado do HTTPS ainda é confiável?
O HTTPS continua sendo uma camada essencial, mas o cadeado não garante que uma loja, promoção ou pessoa seja honesta. Ele indica que a conexão está criptografada e que o certificado apresentado passou pelas verificações do navegador.
Antes de informar senha ou cartão, confira o domínio completo e desconfie de páginas abertas por links inesperados. Em nosso guia, já mostramos como novas proteções do Android ajudam contra golpes, sem substituir a atenção do usuário.
Também vale manter o sistema operacional suportado. Já explicamos o que fazer com um computador Windows 10 sem suporte, pois navegador atualizado e sistema corrigido são camadas diferentes de proteção.
É necessário trocar senhas por causa do incidente?
A Mozilla não orientou uma troca geral de senhas nem relatou, no comunicado, vazamento de credenciais de todos os usuários. Atualizar o navegador é a ação proporcional às informações divulgadas até agora.
Troque credenciais se você inseriu dados em uma página suspeita, recebeu alerta de certificado, notou acesso desconhecido ou tem outra evidência concreta. Nesse caso, use um aparelho confiável e encerre sessões abertas.
Para a maioria das pessoas, a conferência leva poucos minutos: abra a tela “Sobre”, instale a versão oferecida e reinicie quando solicitado. O incidente foi sério, mas a resposta correta é atualização verificada, não pânico.