Si Firefox se met à jour normalement, la protection contre les certificats eMudhra compromis a déjà été distribuée. La bonne vérification consiste tout de même à installer la version la plus récente du navigateur, surtout sur Android ou dans un environnement où les mises à jour et les réglages de sécurité sont gérés autrement.
Ce qui s’est passé
- 17 octobre 2026 : Mozilla reçoit un signalement concernant les clés privées de huit certificats intermédiaires eMudhra.
- Le même jour : Mozilla bloque ces certificats dans OneCRL, sa liste centralisée de certificats révoqués, et distribue la protection aux configurations standards de Firefox.
- 20 octobre : Firefox 158.0.1 intègre la liste mise à jour pour les appareils qui n’auraient pas reçu le changement à distance.
- 21 octobre : Firefox pour Android 158.0.2 corrige un problème qui pouvait retarder l’application de cette liste intégrée au démarrage.
Pourquoi un certificat compromis compte
Un certificat HTTPS aide le navigateur à confirmer qu’il parle au bon site et à chiffrer la connexion. Si la clé d’une autorité intermédiaire est compromise, elle peut servir à produire de faux certificats pour des domaines que l’attaquant ne contrôle pas.
Le scénario exige toutefois plus qu’un simple faux certificat : l’attaquant doit aussi être en mesure d’intercepter ou de détourner la connexion. L’avis de Mozilla ne signifie donc pas que chaque personne ayant utilisé Firefox a été espionnée, ni que tous ses mots de passe doivent être changés. Il justifie une vérification calme de la mise à jour.
Quelle version faut-il avoir?
| Situation | Version de référence | Action sûre |
|---|---|---|
| Firefox sur Windows, macOS ou Linux installé depuis Mozilla | 158.0.1 ou une version plus récente | Ouvre le menu, puis Aide > À propos de Firefox. Laisse la vérification se terminer et redémarre si demandé. |
| Firefox pour Android | 158.0.2 ou une version plus récente | Ouvre la fiche Firefox dans la boutique d’applications utilisée pour l’installation et lance la mise à jour offerte. |
| Firefox ESR | 115.43.1, 153.5.1 ou une version ESR plus récente | Vérifie la version dans « À propos de Firefox » ou auprès de la personne qui gère l’appareil. |
| Firefox fourni par une distribution Linux ou une organisation | Dernier paquet approuvé par le dépôt ou l’administrateur | Utilise le gestionnaire de mises à jour du système. Ne remplace pas une installation gérée sans confirmer la méthode prévue. |
Ces numéros sont des seuils liés à l’incident, pas des versions à rechercher une par une. Si Firefox affiche une version plus récente, garde-la. Revenir à une ancienne version retirerait d’autres correctifs au passage.
Vérifier la protection en quatre étapes
- Ferme les travaux sensibles. Enregistre les formulaires et les onglets importants avant un redémarrage du navigateur.
- Passe par le canal officiel. Utilise « À propos de Firefox », la boutique de l’appareil ou le gestionnaire de paquets. Une fenêtre Web qui réclame une installation n’est pas le bon chemin.
- Confirme la version après le redémarrage. Rouvre la page d’information et vérifie que Firefox indique qu’il est à jour.
- Observe le résultat. Visite une adresse officielle déjà connue. Si un avertissement de certificat persiste, ne l’ignore pas automatiquement : note le code d’erreur et poursuis le diagnostic.
Pour replacer cette vérification dans une routine plus large, consulte le guide sur les correctifs de sécurité. Et si une page prétend installer la mise à jour à ta place, le guide sur la fausse mise à jour du navigateur explique pourquoi il faut fermer l’onglet plutôt que télécharger son fichier.
Que faire devant un avertissement de certificat?
Un avertissement n’est pas une invitation à chercher le bouton qui le contourne. Reviens en arrière, vérifie l’adresse caractère par caractère et confirme que la date, l’heure et le fuseau horaire de l’appareil sont justes. Une horloge erronée peut faire paraître un certificat invalide.
- Un seul site est touché : le problème peut venir de sa configuration. Utilise un autre canal officiel pour prévenir son responsable.
- Plusieurs sites connus sont touchés : vérifie la mise à jour de Firefox, puis demande de l’aide si un antivirus, un contrôle parental, un proxy ou un réseau d’organisation inspecte les connexions chiffrées.
- L’avertissement apparaît après un lien reçu : ferme la page et retrouve le service par ton signet, son application ou une adresse saisie manuellement.
Faut-il changer ses mots de passe?
Pas uniquement parce que ces certificats ont été compromis. En revanche, si tu as contourné un avertissement, saisi un mot de passe ou fait un paiement sur une page dont l’identité n’était pas confirmée, change le mot de passe depuis un appareil à jour et une adresse officielle. Révoque les sessions inconnues et communique avec l’émetteur de la carte si des renseignements de paiement ont été transmis.
Sources
- Mozilla Security Blog — réponse à la compromission des certificats eMudhra, 20 octobre 2026, mise à jour le 21 octobre.
- Mozilla Foundation Security Advisory 2026-111, 20 octobre 2026.
- Mozilla Foundation Security Advisory 2026-116 pour Firefox Android 158.0.2, 21 octobre 2026.
- Mozilla Support — mettre Firefox à jour, consulté le 25 octobre 2026.
- Mozilla Support — comprendre les avertissements de certificat, consulté le 25 octobre 2026.
Les versions évoluent rapidement. La référence utile demeure la version la plus récente offerte par le canal officiel de ton appareil.