AnswersPublished14 sources
Mozilla tvingas byta GPG-nyckel för Firefox och Thunderbird efter läcka på GitHub
Den 10 augusti 2026 avslöjade Mozilla att en okrypterad kopia av en privat GPG delsigneringsnyckel för Firefox och Thunderbird Linux artefakter av misstag hade laddats upp till ett privat GitHub repository. Mozillas utredning fann inga bevis för att nyckeln använts av obehöriga, men som en försiktighetsåtgärd återka...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
Research answer
Key takeaways
- Den 10 augusti 2026 avslöjade Mozilla att en okrypterad kopia av en privat GPG delsigneringsnyckel för Firefox och Thunderbird Linux artefakter av misstag hade laddats upp till ett privat GitHub repository.
- Mozillas utredning fann inga bevis för att nyckeln använts av obehöriga, men som en försiktighetsåtgärd återkallades och ersattes den omedelbart.
- De flesta användare behöver inte göra någonting, men användare av Fedora 42 och tidigare, RHEL, Rocky Linux, AlmaLinux, openSUSE och SUSE måste manuellt ta bort den gamla nyckeln och importera den nya.
- Händelsen inträffade mindre än en vecka efter den massiva keyv npm paketkapningen (ChainDrop), vilket understryker de växande hoten mot mjukvaruleveranskedjan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Den 10 augusti 2026 meddelade Mozilla att man av misstag hade laddat upp en okrypterad kopia av en privat GPG-delsigneringsnyckel till ett privat GitHub-repository. Detta tvingade fram ett omedelbart nyckelbyte för Firefox och Thunderbird Linux-artefakter. Här följer en fullständig genomgång av händelsen och dess sammanhang.
Hur nyckeln exponerades
Den privata GPG-delsigneringsnyckeln – som användes för att signera Linux-tarbollar, RPM-paket och kontrollsummafiler – laddades av misstag upp i klartext (okrypterad) till ett privat GitHub-repository av en Mozilla-anställd . Repositoryt var endast tillgängligt för en liten grupp inom Mozilla, men nyckelmaterialet lagrades utan lösenordsskydd .
Mozillas utredningsresultat
Mozilla granskade tillgängliga revisionsloggar och fann inga bevis för att nyckeln hade använts av någon obehörig under den tid den låg i repositoryt . Åtkomsten var begränsad till personer som redan hade behörig åtkomst till nyckeln via andra vägar . Mozilla bedömde risken för en faktisk leveranskedjeattack (t.ex. att angripare distribuerar skadliga signerade installationsprogram) som låg .
Vidtagna åtgärder
-
Återkallelse: Mozilla återkallade den komprometterade nyckeln med orsakskod 2, vilket i GPG/OpenPGP-specifikationen innebär ”nyckelmaterial har komprometterats” (motsvarande
KEY_COMPROMISE) . -
Ersättningsnyckel: En ny GPG-signeringsdelsignal utfärdades med fingeravtryck:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3Denna delnyckel är giltig till och med 5 augusti 2028 . Huvudnyckelns fingeravtryck är
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353. -
Skyddsåtgärder: Mozilla har infört interna säkerhetsåtgärder för att förhindra liknande oavsiktliga uppladdningar i framtiden .
-
Konsekvenser av återkallelsen: Eftersom GPG-återkallelser är permanenta, slutar filer signerade med den gamla nyckeln att verifieras när en användare importerar återkallelsen – detta gäller även äldre nedladdningar, inte bara framtida .
Vem behöver agera
De flesta användare – ingen åtgärd krävs. Mozillas officiella riktlinjer säger: ”För de flesta användare krävs ingen åtgärd” . Automatiska uppdateringsmekanismer hanterar nyckelövergången transparent.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Mozilla tvingas byta GPG-nyckel för Firefox och Thunderbird efter läcka på GitHub"?
Den 10 augusti 2026 avslöjade Mozilla att en okrypterad kopia av en privat GPG delsigneringsnyckel för Firefox och Thunderbird Linux artefakter av misstag hade laddats upp till ett privat GitHub repository.
What are the key points to validate first?
Den 10 augusti 2026 avslöjade Mozilla att en okrypterad kopia av en privat GPG delsigneringsnyckel för Firefox och Thunderbird Linux artefakter av misstag hade laddats upp till ett privat GitHub repository. Mozillas utredning fann inga bevis för att nyckeln använts av obehöriga, men som en försiktighetsåtgärd återkallades och ersattes den omedelbart.
What should I do next in practice?
De flesta användare behöver inte göra någonting, men användare av Fedora 42 och tidigare, RHEL, Rocky Linux, AlmaLinux, openSUSE och SUSE måste manuellt ta bort den gamla nyckeln och importera den nya.