Tor Browser 15.0.25 liefert Firefox-Sicherheitskorrekturen: was das Update für Nutzer wirklich ändert
Das Tor Project hat Tor Browser 15.0.25 am 12. Oktober 2026 veröffentlicht, und die wichtigste Zeile steht unauffällig im Changelog: ein Backport der Sicherheitskorrekturen aus Firefox 158. Der Browser ist auf der offiziellen Downloadseite und im Distributionsverzeichnis des Projekts verfügbar, und die Ankündigung bleibt nüchtern: Diese Version existiert in erster Linie, um Firefox-Sicherheitsupdates zu den Tor-Nutzern zu bringen.
This version includes important security updates to Firefox.Dieser Satz aus dem Release-Beitrag fällt knapp aus. Neben dem Firefox-Backport aktualisiert 15.0.25 den Tor-Daemon selbst, frischt zwei sicherheitsrelevante Bibliotheken auf und ändert nebenbei das Windows-Code-Signaturzertifikat der ausführbaren Datei.
Was wirklich in 15.0.25 steckt
Der vollständige Changelog seit Tor Browser 15.0.24, veröffentlicht im Projektforum und im Tor-Blog, liest sich so:- Tor auf 0.4.9.14 aktualisiert
- NoScript auf 13.6.36.1984 aktualisiert
- OpenSSL auf 3.5.9 aktualisiert
- Backport der Sicherheitskorrekturen aus Firefox 158 (tor-browser Issue #45382)
- Build-System: Der Windows-sign-exe-Wrapper nutzt nun ein neues Windows-Signaturzertifikat
Die Firefox-158-Advisory hinter dem Backport
Mozilla hat die zugrunde liegenden Korrekturen am 13. Oktober in der MFSA 2026-106 für Firefox 158 angekündigt, mit einer Gesamteinstufung von hoch. Die Liste der High-Severity-Funde ist lang und von den klassischen Exploit-Klassen geprägt: Privilegienerhöhung in der Application-Update-Komponente (CVE-2026-109704), mehrere Sandbox-Escapes und Use-after-free-Fehler in der Networking-Komponente, ein Use-after-free im IndexedDB-Speicher, JIT-Fehlkompilierung in WebAssembly sowie eine Reihe von Boundary-Condition-Fehlern in der JavaScript-Engine, viele davon gehen auf Amy Burnett von OpenAI zurück. Die passende Advisory zur Extended-Support-Version, MFSA 2026-108 für Firefox ESR 153.5, enthält denselben High-Impact-Satz, und genau diese ESR-Linie ist die Basis des Tor Browser. Ein Vorbehalt gehört dazu: Der Tor-Release-Beitrag zählt nicht auf, welche einzelnen CVEs in den 15.0.25-Backport eingeflossen sind; der Changelog-Eintrag ist also als Bündel zu lesen, nicht als Fehler-für-Fehler-Karte.Warum die Korrekturen gemeinsam mit Mozillas erscheinen, nicht Monate später
Tor Browser ist ein gepatchter Firefox-Build: Jede Mozilla-Korrektur muss auf die Tor-spezifische Codebasis portiert, gegen die Datenschutz- und Fingerprinting-Patches geprüft, für jede Plattform neu gebaut und signiert werden, bevor das Projekt sie veröffentlicht. Diese Pipeline kostet Tage statt Monate. Diesmal war der Abstand minimal: Der Tor-Blogbeitrag ist auf den 12. Oktober datiert, Mozillas passende Advisories auf den 13. Oktober, und der Alpha-Kanal war Mitte des Monats bereits bei 16.0a14. Die Pipeline läuft weiter. Am 20. Oktober hat Mozilla Folge-Advisories für Firefox 158.0.1, Firefox ESR 153.5.1 und Firefox ESR 115.43.1 veröffentlicht; weitere Verpackungsarbeit auf Tor-Seite ist daher wahrscheinlich. Zum Zeitpunkt dieses Texts war kein entsprechendes stabiles Tor-Browser-Release angekündigt.Die praktische Update-Routine
Für die meisten Nutzer ist die Routine kurz:- Prüfen Sie die Version im Browser-Menü. Alles ab 15.0.24 oder älter hat diesen Backport nicht.
- Spielen Sie das Update direkt über den integrierten Updater ein oder installieren Sie eine frische Kopie von der offiziellen Downloadseite.
- Wer frisch installiert, nimmt sich die Extraminute und liest vor dem Start des Installers, wie man Tor-Downloads richtig verifiziert.
- Lassen Sie die mitgelieferten Sicherheitseinstellungen an. Die Downloadseite wiederholt den ständigen Rat: Zusätzliche Add-ons können Tor umgehen oder die Privatsphäre gefährden, und der Browser bringt HTTPS-Only-Modus und NoScript bereits mit.