Mozilla afferma di trattenere alcune prove di regressione fino alla distribuzione delle correzioni e di analizzare i nuovi commit di Firefox per individuare bug introdotti. In un intervento pubblicato il 29 ottobre 2026, Bobby Holley, CTO di Firefox, ha descritto queste misure e una difesa strutturale che Mozilla sta introducendo per ridurre le sovrapposizioni tra le finestre in cui le correzioni non hanno ancora raggiunto gli utenti. Mozilla
Il test controllato di Epoch AI
Il 29 ottobre 2026 Epoch AI ha riferito che GLM 5.3, modello open-weight sviluppato da Z.ai, aveva costruito catene di exploit funzionanti contro sei versioni di Firefox. Il test si svolgeva in un ambiente isolato e senza accesso a Internet per il modello: i ricercatori gli fornivano la versione del browser, strumenti di base e informazioni pubbliche sulle correzioni, poi lasciavano che lavorasse senza ulteriori indicazioni. Il tentativo riuscito più rapido durò 12 ore; ogni prova poteva proseguire fino a 48 ore. Epoch AI
La prova puntava a far sì che una pagina web leggesse un file locale e ne inviasse il contenuto a un server controllato da un attaccante, senza altre azioni dell’utente. Epoch ha descritto un esperimento controllato, non un attacco osservato contro utenti di Firefox.
Il termine patch gap indica l’intervallo tra la pubblicazione di una correzione di sicurezza e il momento in cui questa raggiunge gli utenti. Un’analisi precedente di NeoTeo aveva raccontato una diversa valutazione di GLM 5.3, condotta da Anthropic: il test di GLM 5.3 in ExploitBench. La ricerca di Epoch si è concentrata invece sulla finestra tra la pubblicazione delle correzioni e la loro distribuzione nelle versioni stabili di Firefox.
Le misure operative descritte da Mozilla
Holley ha spiegato che Firefox distribuisce nuove versioni ogni settimana, che Mozilla tiene riservati alcuni test di regressione fino alla pubblicazione delle correzioni e che analizza i nuovi commit per individuare vulnerabilità introdotte durante lo sviluppo. I test di regressione verificano che una modifica al software non abbia compromesso funzioni già esistenti.
Secondo Mozilla, mantenere riservati alcuni di questi test può ridurre le informazioni disponibili a chi cerca di sfruttare una correzione prima che raggiunga tutti gli utenti. Holley ha anche riferito che Firefox ha distribuito oltre sette volte il numero di correzioni di sicurezza rispetto allo stesso periodo del 2025, un confronto presentato da Mozilla.
La difesa strutturale è ancora in introduzione
Mozilla sta introducendo un approccio che coordina le correzioni tra diversi livelli di difesa del browser, con l’obiettivo di evitare che le finestre di patch gap si sovrappongano. La strategia richiede coordinamento tra i gruppi di ingegneria e, secondo Holley, potrebbe richiedere tempo per essere attuata.
Che cosa è successo con Firefox 159.0 e Chrome
Epoch ha riferito che Mozilla ha corretto in Firefox 159.0 una vulnerabilità non pubblicata che il modello aveva riscoperto durante gli attacchi del test. Epoch non aveva confermato se tentativi analoghi fossero riusciti contro quella versione.
Nei test condotti con lo stesso ambiente e le stesse tecniche, Epoch non ha ottenuto un exploit equivalente contro Chrome, pur spendendo circa 100.000 dollari in costi API. Epoch ha precisato che questo risultato non dimostra che Chrome sia immune agli attacchi basati sul patch gap. La spesa totale della ricerca su Firefox ha superato i 100.000 dollari, mentre Epoch ha stimato circa 1.000 dollari di costi API marginali per ogni nuova versione di Firefox dopo la preparazione dell’ambiente di test. Epoch AI
