Firefox 158.0.1 renforce le blocage de certificats compromis

Un certificat HTTPS aide le navigateur à vérifier à quel site il se connecte et à protéger les échanges. Cette confiance repose sur une chaîne de certificats, dont certains servent d’intermédiaires entre une autorité reconnue et le site. L’aide Mozilla sur les certificats explique ce mécanisme. Lorsqu’un intermédiaire est compromis, le navigateur doit pouvoir cesser de lui faire confiance : c’est le sujet de la mise à jour Firefox du 20 octobre 2026.

Mozilla indique avoir bloqué des certificats intermédiaires eMudhra compromis dans OneCRL, sa liste de révocation, le 17 octobre. Le blocage a été transmis le même jour par Remote Settings, le service de distribution de réglages distants. Firefox 158.0.1 inclut aussi la liste actualisée, afin de couvrir les postes où ce service est désactivé par une politique d’entreprise ou inaccessible sur le réseau. L’avis de sécurité MFSA 2026-111 décrit précisément cette mesure sous la référence CVE-2026-113470.

Deux chemins pour recevoir la protection

L’existence d’une distribution à distance explique pourquoi la protection a pu arriver avant la nouvelle version du navigateur. Elle ne dispense pas de mettre à jour le logiciel : la version 158.0.1 apporte une autre voie pour obtenir ce blocage. Les notes de version, datées du 20 octobre confirment ce fonctionnement et mentionnent également d’autres corrections. Il ne faut donc pas interpréter le seul numéro de version comme un relevé complet des protections déjà reçues par un poste.

Dans une petite entreprise, un ordinateur utilisé en déplacement et un poste soumis à des règles d’administration peuvent ne pas recevoir les mêmes paramètres au même moment. Cette situation hypothétique justifie un contrôle de l’environnement, plutôt qu’une consigne identique envoyée sans suivi. Faites relever le navigateur, sa version et son mode de gestion. Pour un parc administré, demandez au responsable informatique si les mises à jour du logiciel et de ses paramètres aboutissent bien.

Un certificat concerne l’identité technique du site et le chiffrement de la liaison. Il ne garantit pas que les informations affichées sont justes ou qu’un achat sera honoré. À l’inverse, une alerte de certificat mérite un examen : la contourner pour terminer une tâche supprime le point de contrôle au moment où il est nécessaire. Relevez l’adresse et le message sans transmettre de mot de passe ni de document sensible dans un ticket public.

Si votre propre site affiche une alerte

Conservez la date, l’adresse exacte, le navigateur concerné et la capture du message. Ces éléments permettront au prestataire de vérifier la chaîne présentée par le serveur et de comparer plusieurs environnements. L’annonce Mozilla ne permet pas de conclure que votre site utilise un certificat touché. Une alerte peut aussi avoir une autre cause ; le diagnostic doit porter sur le certificat réellement présenté.

Pour le visiteur, l’action utile consiste à conserver un navigateur à jour et à faire examiner une alerte persistante. Pour l’exploitant du site, elle consiste à organiser le contrôle du HTTPS et la prise en charge d’un signalement. Les offres d’hébergement et de maintenance Gaia incluent un contrôle du certificat HTTPS, avec des modalités de suivi qui varient selon le niveau choisi. Ce périmètre apporte un point de départ concret pour le site ; le suivi des navigateurs du parc doit être organisé avec son responsable informatique.