Firefox 158.0.1 bổ sung chặn chứng chỉ eMudhra bị lộ khóa: doanh nghiệp cần kiểm tra gì?

Khóa chứng chỉ bị lộ có thể khiến website bị giả mạo

Mozilla công bố ngày 20/10/2026 phát hành Firefox 158.0.1 cho Desktop và Android sau sự cố lộ khóa riêng của tám chứng chỉ trung gian eMudhra. Doanh nghiệp dùng Firefox nên kiểm tra bản cập nhật trên máy nhân viên, nhất là máy có chính sách tùy chỉnh hoặc không kết nối được dịch vụ cập nhật. Đây là diễn biến xử lý mới ngày 20/10 của sự cố được báo cho Mozilla ngày 17/10, không phải vụ lộ khóa vừa xảy ra sáng 21/10.

Chứng chỉ trung gian là một mắt xích giúp trình duyệt tin chứng chỉ HTTPS của website. Theo Mozilla, khóa bị lộ có thể được dùng để ký chứng chỉ giả cho tên miền mà kẻ tấn công không sở hữu. Nếu đồng thời chặn được đường kết nối của nạn nhân, đối tượng có thể giả mạo website và đọc hoặc sửa lưu lượng. Điều kiện chặn đường kết nối cần được giữ rõ; nguồn không nói mọi phiên Firefox đã bị đọc trộm.

Thông báo xác nhận sự cố khóa và nguy cơ của nó, nhưng không công bố bằng chứng các chứng chỉ này đã được dùng để nghe lén một người dùng cụ thể. Friday Works không gán thêm CVE, điểm CVSS hoặc số nạn nhân khi Mozilla chưa cung cấp.

OneCRL đã bảo vệ cấu hình chuẩn trước bản phát hành

Mozilla nhận báo cáo lúc 20:06 UTC ngày 17/10 và hoàn tất phân phối danh sách chặn OneCRL lúc 22:59 UTC cùng ngày, trong chưa đầy ba giờ. Theo hãng, người dùng cấu hình chuẩn nhận bảo vệ mà không cần cập nhật hoặc khởi động lại Firefox. Hai mốc này tương ứng rạng sáng 18/10 tại Việt Nam.

Bản 158.0.1 đóng gói danh sách chặn để bảo vệ thêm nhóm không nhận được Remote Settings, chẳng hạn do chính sách quản trị hoặc môi trường mạng. Vì vậy, chỉ nhìn một thông báo “đã có OneCRL” trên Internet không đủ xác nhận mọi máy trong công ty đã nhận dữ liệu. Ngược lại, cũng không đúng khi nói toàn bộ Firefox chỉ bắt đầu được bảo vệ ngày 20/10.

Firefox ESR và thư viện NSS cần được kiểm kê riêng

Cùng ngày, Mozilla phát hành ESR 115.43.1 và ESR 153.5.1. Quản trị viên cần đối chiếu đúng nhánh đang được tổ chức sử dụng; không đổi nhánh hỗ trợ chỉ để khớp số của bản Desktop thông thường. Với trình duyệt do kho phần mềm hoặc hệ thống quản trị thiết bị phân phối, kiểm tra thêm tình trạng gói của nhà cung cấp đó.

Mozilla cũng đưa NSS 3.131.1 ra để loại chứng chỉ gốc đã ký các chứng chỉ trung gian liên quan. NSS là thư viện bảo mật được nhiều ứng dụng sử dụng. Một ứng dụng dùng kho tin cậy của Mozilla nhưng không nhận OneCRL cần được nhà cung cấp hoặc đội đóng gói rà riêng; cập nhật Firefox trên cùng máy không chứng minh ứng dụng đó đã được cập nhật.

Cách xác nhận đã xử lý trên thiết bị doanh nghiệp

Friday Works khuyến nghị lấy danh sách thiết bị theo nhánh Firefox, kiểm tra trạng thái cập nhật và áp dụng gói chính thức theo quy trình của công ty. Với bản cài trực tiếp từ Mozilla, mở About Firefox, hoàn tất cập nhật rồi khởi động lại khi được yêu cầu; sau đó đối chiếu phiên bản đã chạy. Không chỉ dựa vào trạng thái đã tải gói mà chưa khởi động lại.

Nếu website nội bộ phát sinh lỗi chứng chỉ sau cập nhật, giữ thông tin lỗi và nhờ đội quản trị kiểm tra chuỗi chứng chỉ với đơn vị cấp. Không hướng dẫn nhân viên bỏ qua cảnh báo hoặc tin thêm một chứng chỉ để mở lại trang. Các bước kiểm tra chỉ áp dụng hệ thống, thiết bị và tài khoản do doanh nghiệp quản lý.

Ảnh bìa là Page Info, thẻ Security thật của Firefox 90 trên Linux, do VulcanSphere chụp ngày 18/07/2021 theo MPL 2.0. Nó minh họa vị trí xem chứng chỉ với ví dụ Let’s Encrypt; không phải chứng chỉ eMudhra, màn hình Firefox 158.0.1 hoặc bằng chứng máy đã vá.