Firefox : des clés volées menacent HTTPS, voici le correctif à vérifier

Firefox 158.0.1, publié le 20 octobre 2026, renforce le blocage de certificats HTTPS compromis chez eMudhra. Le CERT-FR a relayé les correctifs Mozilla le 21 octobre. Le risque derrière cette annonce est concret : de faux certificats peuvent permettre à un attaquant d’usurper un site dans certaines conditions. Mais il y a une bonne nouvelle : Mozilla avait déjà protégé les installations standard de Firefox dès le 17 octobre. Voici ce qu’il faut réellement vérifier sur votre ordinateur. (1)(2)

Pourquoi cette affaire touche à la confiance dans HTTPS

Le 17 octobre, Mozilla a été informé de la compromission de huit clés privées de certificats intermédiaires eMudhra. Ces clés pouvaient servir à fabriquer des certificats frauduleux. Dans un scénario où l’attaquant peut intercepter la connexion, un site usurpé pourrait ainsi sembler présenter un certificat valide. Il ne s’agit donc pas simplement d’un cadenas mal dessiné ou d’une page de phishing ordinaire. (1)

Pour comprendre l’enjeu, imaginez une carte d’identité délivrée avec un tampon officiel volé. Le document semble crédible tant que celui qui le contrôle n’a pas appris que le tampon doit être refusé. Ici, le navigateur doit savoir quelles signatures ne plus accepter. Cette comparaison explique le mécanisme ; elle ne signifie pas que toutes les connexions HTTPS ont été compromises.

L’annonce ne prouve pas non plus que votre messagerie a été consultée ou que vos mots de passe ont été dérobés. Un risque de falsification et une intrusion constatée sur un compte sont deux informations différentes. La bonne réaction consiste d’abord à vérifier la protection du navigateur, sans céder aux messages alarmistes.

La plupart des utilisateurs Firefox étaient déjà protégés

Mozilla a diffusé le blocage par OneCRL, sa liste centralisée de révocation. D’après sa chronologie, la distribution aux configurations standard était terminée moins de trois heures après le signalement du 17 octobre. Cette protection ne demandait ni nouvelle version de Firefox ni redémarrage. (1)

Le correctif du 20 octobre intègre aussi ce blocage au navigateur. Il couvre notamment les configurations particulières où les mises à jour de paramètres à distance sont désactivées ou empêchées par une politique d’entreprise ou le réseau. Le bulletin de sécurité décrit ce cas sous la référence CVE-2026-113470. (3)

Si vous utilisez Firefox normalement, cette nuance évite de vous croire exposé pendant plusieurs jours alors qu’une protection automatique était déjà distribuée. Sur un poste professionnel administré, elle rappelle au contraire que la version installée et les règles de l’entreprise comptent : mieux vaut transmettre la référence du bulletin au service informatique que modifier des réglages de sécurité au hasard.

Quelle version de Firefox faut-il avoir ?

Pour cet incident, les versions corrigées mentionnées par Mozilla sont Firefox 158.0.1, Firefox ESR 153.5.1 et Firefox ESR 115.43.1. Une version ultérieure de la même branche convient également. ESR désigne les éditions à support prolongé ; il n’est pas nécessaire de changer de branche pour appliquer le correctif correspondant. (3)

La mise à jour ne concerne pas seulement les certificats. Le bulletin corrige aussi une vulnérabilité dans le traitement des SVG, tandis que les notes de version signalent plusieurs problèmes de fonctionnement, dont un plantage d’impression PDF sous Windows avec un lecteur d’écran. Ce sont des raisons supplémentaires de laisser Firefox à jour. (3)(4)

Vérifier et mettre à jour Firefox sans télécharger n’importe quoi

1. Sur Windows, ouvrez le menu de Firefox, puis Aide → À propos de Firefox. Sur Mac, passez par le menu Firefox, puis À propos.
2. Lisez le numéro de version. La fenêtre lance normalement la recherche d’une mise à jour et son téléchargement si elle est disponible.
3. Si Firefox le demande, utilisez Redémarrer pour mettre à jour Firefox, puis contrôlez à nouveau la version.

Une installation provenant du Microsoft Store se met à jour par ce magasin. Sous Linux, lorsque Firefox est fourni par la distribution, utilisez son gestionnaire de mises à jour. Si votre organisation gère le navigateur, suivez son circuit de déploiement. (5)

Vous n’avez pas besoin d’installer un « vérificateur de certificats » proposé dans une publicité pour faire ce contrôle. La fenêtre À propos donne directement l’information utile. Et si un site vous demande de coller une commande dans Windows sous prétexte de réparer le navigateur, quittez cette procédure : ce type de manipulation ressemble au piège ClickFix des faux CAPTCHA.

Faut-il changer tous ses mots de passe ?

Pas sur la seule base de ce bulletin. Si vous n’avez aucun signe de compromission, commencez par confirmer la version corrigée. En revanche, une connexion inconnue dans l’historique d’un compte, une alerte de son fournisseur ou un mot de passe saisi sur une fausse page justifient une vérification de ce compte et de ses sessions. La mise à jour du navigateur empêche certains scénarios futurs ; elle ne répare pas à elle seule un compte déjà détourné.