Mozilla

A Mozilla anunciou a atualização da chave GPG utilizada para assinar as versões do Firefox e Thunderbird, após a exposição acidental de uma cópia não criptografada em um repositório privado do GitHub. Apesar do incidente, a organização avaliou que o risco de um ataque à cadeia de suprimentos, onde agentes maliciosos poderiam distribuir instaladores maliciosos assinados com a chave exposta, é baixo, uma vez que o acesso ao repositório era restrito a um pequeno grupo de indivíduos autorizados. Até o momento, não há evidências de que a chave tenha sido acessada por partes não autorizadas. A Mozilla revogou a chave antiga e implementou medidas para evitar recorrências. A nova subchave de assinatura expira em 5 de agosto de 2028 e os usuários que verificam assinaturas GPG manualmente devem importar a nova chave e a revogação da antiga. Para usuários do Linux que instalarem o Firefox via pacotes RPM, é necessário atualizar manualmente os sistemas, com instruções específicas disponíveis para diferentes distribuições. O Thunderbird, por sua vez, não requer ações específicas relacionadas a RPM. A situação destaca a importância de manter práticas de segurança rigorosas em ambientes de desenvolvimento e distribuição de software.

A Mozilla revogou a chave criptográfica utilizada para assinar downloads do Firefox e Thunderbird para Linux, após uma cópia não criptografada ter sido acidentalmente comprometida em um repositório privado da empresa. Essa chave é essencial para garantir que os arquivos baixados não foram adulterados. A revogação implica que os downloads antigos não serão mais verificados, afetando usuários que realizam a verificação manual de assinaturas e aqueles que utilizam pacotes RPM. Embora a Mozilla tenha afirmado que não há evidências de acesso não autorizado à chave, a decisão de revogá-la foi tomada como precaução. A nova subchave, válida até 2028, foi publicada com um código de revogação que indica que o material da chave foi comprometido. Para usuários que instalam o Firefox via RPM, pode ser necessário substituir a chave manualmente. A situação ocorre em um contexto de crescente preocupação com a segurança de repositórios de código, especialmente após um recente ataque a contas do GitHub. A Mozilla não divulgou detalhes sobre como a chave foi exposta ou quais medidas de segurança foram implementadas após o incidente.

A Mozilla lançou atualizações para corrigir duas falhas críticas no Firefox, identificadas como CVE-2026-15718 e CVE-2026-15719, que envolvem um ponteiro inválido no componente JavaScript: WebAssembly e problemas de isolamento de sites no componente DOM: Navegação. Embora o código de exploração tenha sido publicado, a Mozilla não tem conhecimento de ataques ativos explorando essas vulnerabilidades. As correções estão disponíveis na versão 152.0.6 do Firefox.

Simultaneamente, o Google corrigiu 15 falhas de segurança no Chrome, incluindo duas vulnerabilidades críticas de uso após a liberação (CVE-2026-15764 e CVE-2026-15765) que poderiam permitir a um atacante remoto explorar a corrupção de heap através de uma página HTML manipulada. As atualizações estão disponíveis nas versões 150.0.7871.124 e 150.0.7871.125 para Windows, Mac e Linux.

A Mozilla anunciou que, com o auxílio do modelo de IA Mythos da Anthropic, conseguiu identificar e corrigir 423 falhas de segurança no navegador Firefox em apenas um mês. O Mythos é descrito como um modelo de ’nova fronteira’ que pode revolucionar a cibersegurança, sendo capaz de detectar vulnerabilidades zero-day em sistemas operacionais e navegadores. A eficácia do Mythos se deve a duas inovações principais: a melhoria das ferramentas de IA e um ‘harness’ desenvolvido pela Mozilla, que permite que o modelo analise o código do Firefox sem gerar os ‘falsos positivos’ comuns em ferramentas de fuzzing anteriores. Durante o processo, o Mythos conseguiu identificar vulnerabilidades que estavam presentes por até 20 anos, que normalmente levariam semanas para serem descobertas por métodos tradicionais. No entanto, a Mozilla ressalta que o Mythos não é uma solução mágica e requer supervisão humana para operar em larga escala, evidenciando a importância da colaboração entre tecnologia e expertise humana na cibersegurança.

A Mozilla lançou a versão 149 do Firefox, que inclui uma nova ferramenta de VPN embutida, oferecendo até 50 GB de tráfego mensal para usuários com conta Mozilla. Essa funcionalidade utiliza um servidor proxy seguro para redirecionar apenas o tráfego do navegador, ao contrário do Mozilla VPN comercial, que cobre todo o tráfego do sistema. A empresa destaca que essa ferramenta é útil para proteger a privacidade em redes Wi-Fi públicas, ao buscar informações sensíveis ou realizar compras online. Os usuários são notificados quando se aproximam do limite de dados e podem ativar a VPN em sites específicos para economizar tráfego. Além disso, o Firefox 149 introduz a função Split View, permitindo que os usuários visualizem várias abas lado a lado, e melhora a segurança ao bloquear notificações de sites considerados maliciosos. A atualização também corrige 46 vulnerabilidades de segurança, com mais da metade delas classificadas como de alta severidade, incluindo falhas críticas que podem comprometer a segurança do usuário. A nova funcionalidade de VPN será lançada progressivamente em regiões como EUA, Reino Unido, Alemanha e França, sem previsão de expansão para outras áreas no momento.

A empresa de inteligência artificial Anthropic anunciou a descoberta de 22 novas vulnerabilidades de segurança no navegador Firefox, em parceria com a Mozilla. Dentre essas falhas, 14 foram classificadas como de alta severidade, sete como moderadas e uma como baixa. As vulnerabilidades foram identificadas em um período de duas semanas em janeiro de 2026 e foram corrigidas na versão 148 do Firefox, lançada no mês anterior. O modelo de linguagem Claude Opus 4.6 da Anthropic foi responsável por detectar a maioria dessas falhas, incluindo um bug crítico de uso após liberação (use-after-free) no JavaScript, identificado em apenas 20 minutos de exploração. Embora o modelo tenha conseguido desenvolver um exploit para apenas duas das vulnerabilidades testadas, isso levanta preocupações sobre a capacidade de exploração automática de falhas de segurança. A Mozilla também confirmou que a abordagem assistida por IA resultou na identificação de 90 outros bugs, a maioria já corrigidos, demonstrando a eficácia da combinação de engenharia rigorosa com ferramentas de análise de nova geração. A empresa enfatizou que, embora os patches gerados pela IA não possam ser garantidos como prontos para implementação imediata, os verificadores de tarefa aumentam a confiança na eficácia das correções propostas.

A Mozilla anunciou uma nova seção de controles nas configurações do navegador Firefox, permitindo que os usuários desativem completamente as funcionalidades de inteligência artificial generativa (GenAI). Segundo Ajit Varma, chefe do Firefox, essa nova funcionalidade oferece um local único para bloquear tanto as características atuais quanto as futuras relacionadas à IA. Os usuários poderão gerenciar individualmente as configurações de IA, como traduções, descrições acessíveis em PDFs, agrupamento de abas aprimorado por IA, prévias de links e um chatbot na barra lateral. A implementação dessas funcionalidades está prevista para a versão 148 do Firefox, que será lançada em 24 de fevereiro de 2026. A Mozilla enfatiza a importância da escolha do usuário, permitindo que aqueles que não desejam utilizar recursos de IA possam desativá-los facilmente. O novo CEO da Mozilla, Anthony Enzor-DeMeo, reforçou o compromisso da empresa em ser uma companhia de software confiável, onde privacidade e uso de dados são claros e compreensíveis. Essa abordagem visa garantir que a IA seja sempre uma opção, e não uma imposição.

A Mozilla anunciou que a próxima versão do Firefox, a 148, permitirá que os usuários desativem completamente as funcionalidades de inteligência artificial (IA) ou gerenciem-nas individualmente. A nova opção ‘Bloquear melhorias de IA’ estará disponível a partir de 24 de fevereiro e permitirá que os usuários impeçam a utilização de recursos gerativos de IA no navegador. A decisão foi tomada em resposta ao feedback dos usuários, que expressaram preocupações sobre a integração da IA. O chefe do Firefox, Ajit Varma, destacou que a empresa está comprometida em oferecer escolhas aos usuários, permitindo que aqueles que desejam evitar a IA possam fazê-lo facilmente. Além de bloquear a IA, os usuários poderão gerenciar cinco funcionalidades específicas que utilizam IA, como traduções de navegador e geração de texto alternativo para imagens em PDFs. A configuração das preferências de IA será mantida mesmo após atualizações do navegador. A nova seção de controles de IA será inicialmente disponibilizada para usuários do Firefox Nightly, antes de ser liberada para todos os usuários de desktop. Essa mudança reflete a intenção da Mozilla de garantir que os usuários tenham controle sobre como a IA é utilizada em suas experiências de navegação.

A Mozilla anunciou novas exigências de transparência para a coleta de dados por extensões do Firefox, que entrarão em vigor em 3 de novembro de 2025. Todas as extensões recém-submetidas deverão declarar se coletam ou transmitem dados pessoais diretamente no arquivo de configuração manifest.json. Essa medida visa aumentar a conscientização dos usuários sobre como as extensões lidam com informações sensíveis. Os desenvolvedores deverão utilizar a chave browser_specific_settings.gecko.data_collection_permissions para especificar suas práticas de coleta de dados, sendo que extensões que não coletam dados devem declarar isso explicitamente. As informações sobre a coleta de dados serão exibidas durante o processo de instalação da extensão e também nas páginas de listagem no addons.mozilla.org e na seção Permissões e Dados da página about:addons do Firefox. Embora as novas regras se apliquem apenas a extensões novas, a Mozilla planeja expandir essas exigências para todas as extensões até o primeiro semestre de 2026. Essa iniciativa reflete o compromisso da Mozilla com a proteção da privacidade dos usuários e a necessidade de um design de navegador centrado na privacidade.

A Mozilla lançou a versão 142 do Firefox, que corrige nove vulnerabilidades de segurança, incluindo falhas de alta gravidade que podem permitir a execução remota de código. O aviso de segurança, divulgado em 19 de agosto de 2025, destaca problemas que vão desde corrupção de memória até bypass de políticas de mesma origem, que podem comprometer dados do usuário e a segurança do sistema.

A vulnerabilidade mais crítica, identificada como CVE-2025-9179, envolve uma falha de escape de sandbox no componente Audio/Video GMP (Gecko Media Plugin), permitindo que atacantes realizem corrupção de memória em um processo que lida com conteúdo de mídia criptografada. Outra falha significativa, CVE-2025-9180, permite o bypass da política de mesma origem no componente Graphics Canvas2D, o que pode facilitar ataques cross-site e acesso não autorizado a dados.