Un patch di sicurezza, una diff per scovare 1day. Mozilla corre ai ripari

Mozilla ha scoperto che GLM 5.3 potrebbe suggerire agli hacker come violare le versioni obsolete di Firefox, analizzando dove sono state applicate nel codice le patch di sicurezza. L'azienda sta adottando nuove strategie per mitigare il rischio, come il rilascio differenziato delle patch e l'uso di modelli avanzati di intelligenza artificiale per identificare vulnerabilità.

Mozilla ha ideato un modo per impedire agli hacker di trasformare le ultime correzioni di Firefox in attacchi pronti all’uso. L’azienda intende rilasciare patch per diversi livelli di protezione del browser, ma in momenti diversi, in modo che una vulnerabilità resa pubblica non aiuti i malintenzionati a raccogliere l’intera catena di attacco e predisporre degli exploit.

Il problema è legato a ciò che viene chiamato “finestra di patching” tra l’apparizione di una correzione nel codice e la sua installazione nella maggior parte dei dispositivi degli utenti. Studiando le modifiche al codice sorgente, un attaccante può attraverso delle specifiche “diff”, ricostruire il bug originale e ricostruire l’exploit di sfruttamento. Gli sviluppatori chiamano questo approccio “patch-gapping”.

La minaccia è nota da decenni, ma in precedenza richiedeva un’alta qualificazione e un lavoro rapido. La situazione è cambiata con l’avvento delle reti neurali. Secondo Mozilla, i modelli moderni sono in grado di cercare vulnerabilità al livello degli esperti, e molto più velocemente. L’azienda ha già rilevato segni che GLM 5.3 possa utilizzare alcune correzioni dei bug per rilevare gli exploit di sfruttamento nelle precedenti versioni. Pertanto, anche una patch rilasciata può suggerire un percorso di attacco contro i browser ancora non aggiornati.

Da febbraio, il team di Firefox utilizza modelli avanzati di Anthropic e OpenAI per la ricerca di errori. Nel periodo trascorso, gli sviluppatori hanno rilasciato più di sette volte il numero di correzioni di sicurezza rispetto allo stesso periodo del 2025. Secondo Mozilla, l’accesso anticipato ai modelli più potenti ha permesso di identificare molti difetti profondi prima che strumenti fossero disponibili per gli attaccanti.

Mozilla ha già dimezzato il ciclo di rilascio di Firefox ed è passata agli aggiornamenti settimanali. L’azienda ha anche deciso nuovamente di mantenere segreti i test di regressione fino al rilascio della patch. Questi test verificano se un errore già corretto sia tornato, ma allo stesso tempo possono rivelare il suo meccanismo agli attaccanti. Inoltre, gli sviluppatori verificano le nuove modifiche del codice per non trascurare nuovi difetti.

La nuova idea si basa sull’isolamento multi-livello di Firefox. Per un completo takeover del browser, all’attaccante non basta una singola vulnerabilità. Sono necessari almeno un errore per eseguire codice nel processo di visualizzazione della pagina e un metodo separato per uscire dalla sandbox che limita l’accesso al sistema. Senza uno di questi elementi, la catena di attacco non funzionerà.

Mozilla prevede di distribuire le correzioni per categorie in modo che i periodi pericolosi per diversi livelli di protezione non coincidano. In questo modo, una patch pubblicata potrà suggerire ai malintenzionati solo una parte della combinazione necessaria. La seconda vulnerabilità dovrà essere cercata autonomamente, nonostante i controlli preliminari con l’ausilio di modelli di intelligenza artificiale avanzati. Le tempistiche di implementazione del nuovo ordine non sono ancora state annunciate.

Nella spiegazione del metodo pubblicata, l’ingegnere di Mozilla Bobby Holly sottolinea che le modifiche richiederanno la sincronizzazione di diversi processi di sviluppo. L’azienda non vuole rallentare la correzione degli errori. I browser hanno comunque bisogno di alcuni giorni di test preliminari, e gli utenti non sempre installano gli aggiornamenti immediatamente dopo il rilascio.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response