Mozilla, 20 Ekim 2026’da Firefox 158.0.1 sürümünü dört güvenlik düzeltmesiyle yayımladı. Sürümün dikkat çeken tarafı, sertifika otoritesi eMudhra’ya ait ele geçirilmiş ara sertifikaların engel listesinin tarayıcının kendisine gömülmesi: böylece uzaktan güncellenen listeye erişemeyen kurulumlar da bu sertifikaları reddediyor.
Ne oldu
Duyuruya göre Mozilla, ele geçirilmiş eMudhra ara sertifikalarını 17 Ekim’de OneCRL adlı iptal listesi üzerinden engelledi ve liste aynı gün RemoteSettings mekanizmasıyla istemcilere dağıtıldı. 158.0.1 sürümü bu güncel OneCRL listesini doğrudan içeriyor; Mozilla’nın ifadesiyle, RemoteSettings bir ilke ile kapatılmış ya da erişilemez olsa bile istemciler bu sertifikaları engelliyor. Bu kayıt CVE-2026-113470 numarasıyla, “yüksek” etki derecesiyle listelendi; bildiren kişi duyuruda yalnız “Wayne” adıyla geçiyor. Duyuru sertifikaların seri numaralarını ya da parmak izlerini vermiyor.
Aynı sürümdeki diğer üç düzeltme: CVE-2026-113399, SVG bileşeninde hatalı sınır koşulu (yüksek, Mozilla iç bulgusu); CVE-2026-113400, ses/görüntü katmanındaki cubeb bileşeninde başlatılmamış bellek (orta, Mozilla); CVE-2026-113401, PDF görüntüleyicide hizmet dışı bırakma (düşük, Ahmed Hesham). Duyuruda sahada istismar ifadesi yok.
Kimleri etkiler
Masaüstünde Firefox kullanan herkes; kurumsal tarafta özellikle Firefox’u merkezi ilkelerle yöneten ve RemoteSettings’i kapatan kurumlar. Bu kurumlarda 17 Ekim’deki uzaktan engel listesi hiç gelmemiş olabilir; eMudhra sertifikalarına karşı koruma ancak 158.0.1’in kurulmasıyla devreye giriyor. Ele geçirilmiş bir ara sertifika, saldırganın herhangi bir alan adı için geçerli görünen sertifika üretebilmesi anlamına gelir; bu yüzden engel listesinin istemciye ulaşması tek başına önemli.
Bir hafta önce, 13 Ekim’de yayımlanan Firefox 158 (MFSA 2026-106) ise 77 ayrı CVE kaydı içeriyordu; Mozilla artık iç bulgu olan bellek güvenliği hatalarını tek CVE altında toplamıyor, her biri ayrı kayıt alıyor. 158.0.1, bu sürümün üzerine gelen ara düzeltme.
Üretici ne öneriyor
Mozilla’nın önerisi Firefox 158.0.1 ya da üstüne güncelleme. Otomatik güncelleme açık kurulumlar sürümü kendiliğinden alıyor; merkezi dağıtım kullanan kurumlarda paketin ilgili kanala eklenmesi gerekiyor. Firefox ESR dalı için ayrı duyuru bu kayıtta yok; ESR kullanan kurumlar Mozilla’nın güvenlik duyuruları sayfasındaki kendi dallarına ait kaydı izlemeli.
Duyurunun tamamı, dört kaydın etki dereceleri ve ilgili hata kayıtları yan sütundaki bağlantıda.
