Quisieron parchear una vulnerabilidad y terminaron enseñando a los hackers cómo explotarla — Mozilla cambia su enfoque para las correcciones de Firefox

Mozilla ideó cómo impedir que los atacantes conviertan las correcciones recientes de Firefox en ataques listos para usar. La empresa planea publicar parches para distintos niveles de protección del navegador en momentos distintos, de modo que una vulnerabilidad divulgada no ayude a los delincuentes a ensamblar toda la cadena de explotación.

El problema está relacionado con la llamada ventana entre la aparición de la corrección en el código y su instalación por la mayoría de los usuarios. Al estudiar los cambios, un atacante a veces puede reconstruir el error original y aprovecharlo contra la versión antigua del programa. Los desarrolladores denominan ese enfoque "patch-gapping". La amenaza es conocida desde hace décadas, pero antes requería alta cualificación y rapidez.

La situación la cambian las redes neuronales. Según la estimación de Mozilla, los modelos actuales son capaces de buscar vulnerabilidades al nivel de investigadores experimentados, y además mucho más rápido. La empresa ya detectó indicios de que GLM 5.3 puede aprovechar algunas correcciones para errores que antes detectaban modelos más potentes. Por eso incluso un parche publicado puede indicar el camino para atacar navegadores que aún no se han actualizado.

Desde febrero, el equipo de Firefox emplea modelos avanzados de Anthropic y OpenAI para buscar errores. En el periodo transcurrido, los desarrolladores han publicado más de siete veces tantas correcciones de seguridad como en el mismo periodo de 2025. Según Mozilla, el acceso temprano a los modelos más potentes permitió identificar muchos defectos profundos antes de que herramientas comparables estuvieran disponibles para los atacantes.

Mozilla ya redujo el ciclo de lanzamiento de Firefox a la mitad y pasó a actualizaciones semanales. La empresa también decidió mantener en secreto las pruebas de regresión hasta la salida del parche. Esas pruebas verifican que el error ya corregido no haya regresado, pero al mismo tiempo pueden revelar al atacante su mecanismo. Además, los desarrolladores revisan los nuevos cambios de código para no dejar pasar defectos recientes.

La nueva idea se apoya en el aislamiento multinivel de Firefox. Para tomar el control completo del navegador, en el caso más sencillo al atacante no le basta con una única vulnerabilidad. Se necesitan al menos un fallo que permita ejecutar código en el proceso de renderizado de la página y otro método para salir de la sandbox que limita el acceso al sistema. Sin uno de los elementos, la cadena de ataque no funcionará.

Mozilla planea distribuir las correcciones por categorías de modo que los periodos peligrosos para los distintos niveles de protección no coincidan. Así, un parche publicado solo podrá indicar al atacante una parte de la combinación necesaria. La segunda vulnerabilidad tendrá que buscarla por su cuenta, a pesar de las comprobaciones previas con modelos de IA avanzados. No se han anunciado aún plazos para la implantación de este nuevo orden.

En la explicación del enfoque publicada, el ingeniero de Mozilla Bobby Holley subraya que los cambios exigirán coordinar varios procesos de desarrollo. La empresa no quiere ralentizar la corrección de errores por la nueva esquema. Los navegadores siguen necesitando varios días de pruebas previas, y los usuarios no siempre instalan las actualizaciones inmediatamente tras su salida.