Firefox 安全与隐私通讯 2026 年第三季度

# Firefox 安全与隐私通讯 2026 年第三季度 来源：https://attackanddefense.dev/2026/11/02/firefox-security-and-privacy-newsletter-q3.html 欢迎阅读 2026 年第三季度 Firefox 安全与隐私通讯\. 安全与隐私是 Mozilla 宣言 (https://www.mozilla.org/en-US/about/manifesto/)的核心原则，也始终是 Firefox 开发工作的核心\. 本期重点介绍 2026 年第三季度在以下三个领域的关键举措： - **Firefox 安全：**Firefox 中的新安全功能、平台改进、安全加固工作和安全集成\. - **Firefox 隐私：**Firefox 中的新隐私功能、增强保护和隐私集成\. - **社区参与：**安全研究社区和漏洞赏金计划的亮点\. ## 前言 注意：下文链接的部分漏洞可能不向公众开放，仅限特定工作组访问\. 我们会在一段宽限期后解除对已修复安全漏洞的访问限制 (https://firefox-source-docs.mozilla.org/bug-mgmt/processes/fixing-security-bugs.html#keeping-private-information-private)，以确保大多数用户已收到 Firefox 更新\. 如果您无法访问某个链接，请理解，这是为保障所有 Firefox 用户安全而采取的预防措施\. **快速发布，如今更快：**自 2026 年 9 月起，Firefox 采用了更快的发布周期，更迅速地向用户提供包括安全修复在内的各项改进\. 我们也邀请您了解并参与塑造 Firefox 的未来 (https://www.firefox.com/en-US/whatsnext/)，包括即将推出的安全与隐私功能\. 近期的许多版本都包含了更多安全修复 (https://www.mozilla.org/security/announce)\. 我们继续使用前沿大语言模型来发现和修复 Firefox 中的安全漏洞，始终保障您的上网安全\. 我们还调整了安全公告的发布方式：不再将内部发现的内存安全漏洞归入同一个 CVE，而是为每个漏洞单独发布公告，以提前适应 CVE 编号规则可能发生的变化 (https://github.com/CVEProject/cve-documents/issues/47#issuecomment-5587294133)\. 仅凭 CVE 数量无法可靠衡量安全性，因为软件供应商并没有义务为其内部发现的漏洞分配 CVE 编号\. **及时发现 TLS 安全受损：**从 Firefox 157 开始，当您的连接可能无法完全保障隐私时，您会在网站信息面板 (https://www.firefox.com/en-US/firefox/157.0/releasenotes/)\（地址栏中的盾牌图标\）和设置中看到警告\. 例如，如果管理员将您的 Firefox 配置为记录加密密钥，您就能发现这一情况\. 记录这些密钥可能使其他软件在您不知情的情况下读取您的全部加密网络流量\. **Mozilla 根证书库政策 v3\.1**：我们通过根证书库政策 v3\.1 (https://blog.mozilla.org/security/2026/06/29/improving-transparency-and-assurance-in-the-web-pki-mozilla-root-store-policy-v3-1/)加强 WebPKI 的透明度与可信保障，对公共证书颁发机构提出更严格的透明度、文档和审计要求\. **防止邮件客户端遭到骚扰：**Firefox 现在将 mailto: 链接视为弹出窗口 (https://bugzilla.mozilla.org/show_bug.cgi?id=299116)，只有在用户明确操作后才会打开邮件客户端\. 这可以防止网站通过 JavaScript 反复打开邮件撰写窗口，给用户造成困扰\. **限制扩展访问本地文件：**从 Firefox 153 开始，扩展需要获得您的明确许可，才能通过 \`file://\` URL 访问本地文件 (https://blog.mozilla.org/addons/2026/07/23/firefox-153-webextensions-api-updates/)\. 所有扩展的这项访问权限默认均为关闭状态，包括已安装的扩展，因此您可以自行决定哪些扩展能够访问设备上的文件\. ## Firefox 隐私 **防指纹识别保护：**在一篇有关阿里巴巴使用音频指纹识别的报道 (https://blog.laserphile.com/2026/08/aliexpress-webpage-keeping-multipoint.html)发布后，Tom Ritter 发表了一篇基于数据的分析 (https://ritter.vg/blog-webaudio_alibaba.html)，解释 Firefox 的保护措施如何降低通过 Web Audio API 进行指纹识别的准确度\. Ars Technica (https://arstechnica.com/security/2026/08/aliexpress-caught-fingerprinting-visitors-after-sending-inaudible-sounds-to-browsers/)、The Register (https://www.theregister.com/security/2026/08/24/aliexpress-accused-of-fingerprinting-shoppers-with-silent-audio-trick-that-also-muted-a-devs-headphones/5291662)等媒体对此进行了报道\. **防止链接跟踪：**右键点击链接并选择“复制干净链接” (https://support.mozilla.org/en-US/kb/refresh-firefox-reset-add-ons-and-settings)，现在可以移除任意子域名中的跟踪参数，并额外移除 130 种跟踪参数\. **将容器直接引入 Firefox：**此前以扩展形式提供的容器功能，在 Firefox 153 中成为内置功能 (https://blog.mozilla.org/en/firefox/firefox-containers-preview/)，帮助您将工作、个人浏览和其他活动分开\. 每个容器都维护独立的 Cookie 和登录会话，因此您可以使用容器登录同一网站的多个账户，或将特定网站隔离在各自的容器中，以限制在线跟踪\. Firefox 155 还增加了调整容器顺序的功能\. **Android 上的跟踪器拦截信息：**从 Firefox 153 开始，Android 上的隐私面板会显示 Firefox 拦截的跟踪器类型，让您更清楚地了解 Firefox 如何在浏览过程中保护您的隐私\. **iOS 内置广告拦截功能**：Firefox 于 9 月 1 日推出的 iOS 内置广告拦截器 (https://blog.mozilla.org/en/firefox/ad-blocker-on-ios/)可以拦截许多第三方广告及与广告相关的跟踪器，减少页面杂乱和干扰\. 它与增强型跟踪保护协同工作，可在 iOS 版 Firefox 的“浏览”设置中启用\. **在达格施图尔推动 Web 安全：**7 月，Firefox 安全专家与研究人员及其他浏览器厂商共同参加了达格施图尔 Web 应用安全研讨会 (https://www.dagstuhl.de/de/seminars/seminar-calendar/seminar-details/26291)，分享了大语言模型辅助漏洞检测、XSS 防护和 Web 规模安全测量方面的研究\. **Mozilla 安全研究峰会：**Mozilla 的安全工程高校合作框架 \（SURF\）回归了\. 2026 年 11 月 20 日，我们将在荷兰代尔夫特理工大学再次举办仅限受邀者参加的峰会，汇聚 Mozilla 工程师与学术研究人员，共同探索安全与隐私挑战，并促成新的合作\. 峰会将紧接 ACM 计算机与通信安全会议 \（CCS\） (https://www.sigsac.org/ccs/CCS2026/)举行\. **TLS、QUIC、HTTP/3 和 Happy Eyeballs：**Max Inden 在德累斯顿工业大学做了一场关于现代网络协议的客座讲座 (https://mxinden-bot.github.io/slides/01-tu-dresden/)，介绍了实现快速、安全的网络连接所依赖的技术\. ## 展望未来 *Firefox 用户可通过定期更新获得本通讯中介绍的安全与隐私改进\. 如果您还没有试过 Firefox，欢迎下载，体验快速、安全的浏览器，并支持 Mozilla 的使命，让网络保持开放、安全、健康，且人人皆可访问\.* *感谢所有通过报告漏洞、开展研究、贡献代码或分享反馈，帮助 Firefox 和网络变得更安全、更注重隐私的人\.* *期待在 2026 年第四季度通讯中与您分享更多进展\.* *—— Firefox 安全与隐私团队*