MozillaはLinuxユーザー向けFirefoxとThunderbirdのダウンロードを検証するために使用される暗号鍵を無効化した。この鍵は誤って同社のプライベートコードリポジトリにアップロードされた。これにより、ユーザーはダウンロードしたファイルの正当性を確認できなくなり、古い鍵で署名されたファイルは検証できなくなる。

この無効化は、鍵が漏洩したという証拠がなくても行われた。リポジトリはプライベートであり、不正アクセスの兆候はなかった。しかし、無効化により、古いダウンロードの検証ができなくなる。新しい鍵のフィンガープリントは827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3として公開され、2028年まで有効となる。

この変更は、手動で署名を確認するユーザーとMozillaのRPMパッケージを使用するユーザーに影響を与える。RPMユーザーは、更新時に鍵を手動で変更する必要があるかもしれない。Mozillaは、鍵がどのリポジトリにあったのか、どのように発見されたのかを明らかにしていない。