모질라는 2026년 10월 20일 Firefox 158.0.1 보안 업데이트를 발표했습니다. SVG 처리 문제와 인증서 차단 목록 문제 등 높은 위험도로 분류된 수정 사항이 포함됩니다. 특히 10월 17일 보고된 eMudhra 중간 인증서 비밀키 유출과 관련해, 보안 목록을 받지 못하는 일부 환경에도 차단 조치를 확실히 전달하려는 목적이 있습니다.
대부분의 일반 사용자에게는 ‘어려운 CVE 내용을 외우기’보다 설치한 Firefox의 버전과 업데이트 적용 상태를 확인하는 것이 우선입니다. 아래는 Mozilla의 공식 보안 권고문과 도움말을 기준으로 수정 사항, PC·안드로이드 확인 절차, 기업·특수 환경 주의사항을 구분한 가이드입니다.
Firefox 158.0.1에서 수정된 취약점은?
Mozilla Security Advisory MFSA 2026-111은 높은 위험도(High) 2건을 포함해 네 가지 항목을 공개했습니다. CVE-2026-113399는 SVG 구성 요소의 경계 조건 처리 문제, CVE-2026-113470은 보안 차단·허용 목록 등 상태 관리 구성 요소의 암호학적 문제입니다.
그 밖에 오디오·비디오 관련 초기화되지 않은 메모리 문제인 CVE-2026-113400은 중간 위험도, PDF 뷰어 관련 서비스 거부 문제인 CVE-2026-113401은 낮은 위험도로 분류됐습니다. 공개된 ‘높음’이라는 등급을 근거로 모든 취약점이 실제 공격에 악용됐다고 단정할 수는 없습니다.
eMudhra 인증서 문제는 왜 중요한가요?
Mozilla는 10월 17일 20:06 UTC에 eMudhra의 중간 인증서 8개와 연관된 비밀키가 침해됐다는 보고를 받았다고 밝혔습니다. 공격자가 해당 키를 악용하면 소유하지 않은 웹사이트를 사칭하는 HTTPS 인증서를 발급할 위험이 있어, 연결을 가로챌 수 있는 상황에서 사이트를 가장하거나 통신을 조작할 가능성이 생깁니다.
Mozilla는 같은 날 OneCRL이라는 중앙 인증서 차단 목록을 이용해 문제의 인증서를 차단했습니다. 정상 설정의 Firefox 이용자에게는 10월 17일 22:59 UTC까지 차단 목록 배포가 완료됐다고 설명했습니다. 즉, 158.0.1이 나온 10월 20일까지 모든 사용자에게 보호가 전혀 없었다는 주장은 맞지 않습니다.
10월 20일 배포된 Firefox 158.0.1과 ESR 보안 업데이트는 네트워크 제한이나 사용자 지정 정책으로 OneCRL 동기화를 받지 못한 일부 이용자에게도 차단 목록을 전달하도록 보완한 것입니다. 기업용 관리 설정을 사용하는 PC라면 해당 정책과 실제 버전을 함께 점검해야 합니다.
Windows·macOS에서 설치된 버전 확인하기
1. Firefox를 열고 오른쪽 상단의 메뉴(☰)를 선택합니다. 2. 도움말 → Firefox 정보로 이동합니다. 3. 현재 버전을 확인하고, 업데이트가 검색·다운로드된다면 완료 후 브라우저를 다시 시작합니다. 4. Firefox 정보를 다시 열어 변경된 버전이 표시되는지 확인합니다.
Mozilla가 직접 제공한 일반 데스크톱 릴리스라면 이번 보안 수정이 반영된 버전은 158.0.1 이상입니다. 공식 도움말은 ‘Firefox 정보’ 창을 열면 업데이트를 확인할 수 있으며, 업데이트를 설치했어도 재시작이 필요할 수 있다고 설명합니다.
Microsoft Store 설치판은 스토어에서, Linux 배포판이 제공하는 Firefox는 해당 배포판의 패키지 관리자를 통해 업데이트되는 경우가 있습니다. 일반 설치판과 경로가 다르다고 해서 즉시 오류로 판단하지 마세요.
안드로이드 Firefox와 ESR은 어떻게 확인하나요?
Mozilla는 같은 날 데스크톱뿐 아니라 Android용 Firefox 158.0.1도 공개했습니다. 안드로이드에서는 Firefox 메뉴의 설정 → Firefox 정보(About Firefox)에서 버전을 확인하고, Google Play 등 이용 중인 공식 앱 스토어에서 업데이트 여부를 점검할 수 있습니다.
장기 지원 버전인 Firefox ESR은 번호가 다릅니다. Mozilla가 발표한 수정 릴리스는 ESR 115.43.1과 ESR 153.5.1입니다. ESR 이용자에게 158.0.1을 무조건 수동 설치하라고 안내해서는 안 됩니다. 관리 중인 조직에서는 IT 정책에 따라 ESR 업데이트 계획을 확인하세요.
업데이트가 안 될 때 확인할 순서
첫째, 재시작 여부. 다운로드 완료 메시지가 보이는데 버전이 바뀌지 않는다면 먼저 Firefox를 완전히 종료하고 다시 실행합니다. 둘째, 설치 경로. 공식 Mozilla 설치 파일인지, 스토어·Linux 패키지 관리자를 통한 설치인지 확인합니다.
셋째, 조직의 업데이트 정책. 회사·학교 PC에서는 관리자 정책으로 배포 시점이 달라질 수 있습니다. 보안 설정을 임의로 끄거나 관리자 정책을 무력화하지 말고 담당자에게 현재 버전과 MFSA 2026-111을 전달하세요.
넷째, 공식 출처만 이용. ‘보안 위협이 발견됐다’는 사이트 팝업이 설치 파일을 요구하더라도 누르지 마세요. Firefox의 공식 업데이트·재설치 안내를 이용해야 합니다. 보안 관련 조치 전후의 일반적인 Windows 문제 해결 순서는 기존 Windows 11 원격 데스크톱 업데이트 오류 가이드와 구분해 참고할 수 있습니다.
인증서 오류가 뜬다면 업데이트만 반복하면 될까요?
모든 웹사이트의 HTTPS 오류가 이번 eMudhra 침해 때문에 발생하는 것은 아닙니다. 오류가 나타나는 사이트, 표시된 오류 코드, PC 시계, VPN·보안 소프트웨어, 회사의 네트워크 검사 장비 등을 구분해 확인해야 합니다. 인증서 예외를 무심코 허용하거나 보호 기능을 해제하면 다른 위험에 노출될 수 있습니다.
계정·인증서와 관련한 일반적인 점검 방법은 STLly의 계정과 디지털 보안 안내에서 찾아볼 수 있습니다. 그중 인증서 오류가 반복되는 경우와 이번 브라우저 릴리스는 원인과 적용 범위가 다를 수 있으므로 혼동하지 않는 것이 중요합니다.
자주 묻는 질문
Q. Firefox 158.0.1을 설치하지 않으면 모든 HTTPS 사이트가 위험한가요? 아닙니다. Mozilla는 일반 환경에는 이미 OneCRL 차단 목록이 10월 17일 배포됐다고 밝혔습니다. 다만 새 릴리스에는 추가 보안 수정도 포함되어 있으므로 업데이트를 권장합니다.
Q. Chrome·Edge 사용자도 Firefox를 설치해야 하나요? 아닙니다. 이번 공지는 Firefox 관련 릴리스입니다. 사용 중인 브라우저의 공식 보안 업데이트를 각각 확인하면 됩니다.
Q. 업데이트 후에도 같은 버전으로 보이면요? 브라우저 재시작과 설치 경로를 먼저 확인하고, 관리형 장치라면 운영 담당자와 상의하세요. 알 수 없는 외부 설치 파일은 사용하지 마세요.
공식 출처와 날짜
1차 출처: Mozilla MFSA 2026-111: Security Vulnerabilities fixed in Firefox 158.0.1 (2026.10.20); Mozilla Security Blog: eMudhra 중간 인증서 침해 대응 (2026.10.20, 사고 보고 10.17); Mozilla Firefox 업데이트 공식 도움말.
작성 기준: 2026년 10월 21일(KST). 실제 기기별 최신 버전 표시와 조직별 배포 정책은 달라질 수 있습니다.