Un centro di ricerca indipendente, Epoch AI, ha pubblicato il 29 ottobre uno studio che cambia il modo di guardare agli aggiornamenti di sicurezza dei browser. Il modello open-weight GLM 5.3, realizzato dall'azienda cinese Z.ai e disponibile liberamente da agosto, è riuscito a trasformare in exploit funzionanti sei versioni diverse di Firefox rilasciate tra il 17 settembre e il 26 ottobre, con una spesa di circa 1.000 dollari per ciascuna. Il meccanismo si chiama "patch gap": quando Mozilla pubblica una correzione, il codice modificato racconta implicitamente dove si trovava il difetto, e chi legge quella differenza con gli strumenti giusti può ricostruire un attacco contro chi non ha ancora installato l'aggiornamento.
Un difetto nascosto trovato per errore
Nel corso dei test, GLM 5.3 ha anche individuato una vulnerabilità non ancora pubblica e l'ha usata insieme a quella scoperta tramite il patch gap per completare l'attacco. Epoch ha segnalato questo secondo difetto a Mozilla, che lo ha corretto nella versione 159.0 del 27 ottobre. Non è ancora chiaro se lo stesso tipo di attacco funzioni ancora contro questa versione più recente, e i test si sono svolti in laboratorio, senza coinvolgere utenti reali. Contro Chrome lo stesso approccio non ha avuto successo, ma i ricercatori non lo considerano una prova di maggiore sicurezza, solo un risultato diverso in queste condizioni specifiche.
Cosa significa per chi usa il browser ogni giorno
Mozilla sta valutando contromisure come il rilascio delle patch a scaglioni, aggiornamenti settimanali invece che mensili e l'uso di propri modelli di intelligenza artificiale per trovare i bug prima che lo facciano altri, ma nessuna di queste misure è ancora attiva. Nel frattempo la finestra di rischio resta quella di sempre, solo più veloce da sfruttare: il tempo tra il rilascio di un aggiornamento e la sua installazione effettiva sul dispositivo. Vale per Firefox come per qualsiasi altro browser o sistema operativo. Impostare gli aggiornamenti automatici e non rimandare quando arriva una notifica di aggiornamento disponibile è oggi una delle poche difese che restano davvero nelle mani di chi usa il computer, non solo degli addetti alla sicurezza.