Tor Browser 15.0.25 incorpora parches de seguridad de Firefox: qué cambia realmente para el usuario
El Proyecto Tor publicó Tor Browser 15.0.25 el 12 de octubre de 2026, y la línea que más importa aparece discretamente en el changelog: un backport de las correcciones de seguridad de Firefox 158. El navegador está disponible en la página oficial de descargas y en el directorio de distribución del proyecto, y el anuncio se mantiene sobrio: esta versión existe, ante todo, para llevar las actualizaciones de seguridad de Firefox a los usuarios de Tor.
This version includes important security updates to Firefox.Esa frase del anuncio se queda corta. Junto al backport de Firefox, la 15.0.25 actualiza el daemon de Tor, renueva dos bibliotecas relevantes para la seguridad y cambia discretamente el certificado de firma de código de Windows del ejecutable.
Qué incluye realmente la 15.0.25
El changelog completo desde Tor Browser 15.0.24, publicado en el foro del proyecto y en el blog de Tor, dice lo siguiente:- Tor actualizado a 0.4.9.14
- NoScript actualizado a 13.6.36.1984
- OpenSSL actualizado a 3.5.9
- Backport de las correcciones de seguridad de Firefox 158 (issue #45382 de tor-browser)
- Sistema de compilación: el envoltorio sign-exe de Windows usa ahora un nuevo certificado de firma de Windows
El aviso de Firefox 158 detrás del backport
Mozilla anunció las correcciones subyacentes el 13 de octubre en la MFSA 2026-106 para Firefox 158, con una valoración global de impacto alto. La lista de gravedad alta es larga y está dominada por las clases de exploit clásicas: escalada de privilegios en el componente de actualización de la aplicación (CVE-2026-109704), varios sandbox escapes y use-after-free en el componente de red, un use-after-free en el almacenamiento IndexedDB, una mala compilación JIT en WebAssembly y una serie de errores de condiciones de límite en el motor JavaScript, muchos atribuidos a Amy Burnett, de OpenAI. El aviso correspondiente a la rama de soporte extendido, MFSA 2026-108 para Firefox ESR 153.5, recoge el mismo conjunto de impacto alto, y esa línea ESR es justo la base sobre la que se construye Tor Browser. Una advertencia: la publicación de Tor no enumera qué CVE concretos entraron en el backport de la 15.0.25, así que la entrada del changelog debe leerse como un paquete y no como un mapa bug por bug.Por qué las correcciones llegan junto a las de Mozilla y no meses después
Tor Browser es una compilación parcheada de Firefox: cada corrección de Mozilla debe portarse a la base de código específica de Tor, verificarse contra los parches de privacidad y antifingerprinting, recompilarse para cada plataforma y firmarse antes de que el proyecto la publique. Esa cadena cuesta días, no meses. En esta ocasión la distancia fue mínima: la entrada del blog de Tor está fechada el 12 de octubre y los avisos correspondientes de Mozilla el 13, y el canal alfa ya estaba en 16.0a14 a mitad de mes. La cadena sigue en marcha. El 20 de octubre Mozilla publicó avisos de seguimiento para Firefox 158.0.1, Firefox ESR 153.5.1 y Firefox ESR 115.43.1, así que es probable que haya más trabajo de empaquetado por parte de Tor. En el momento de escribir esto no se había anunciado un lanzamiento estable correspondiente de Tor Browser.La rutina de actualización práctica
Para la mayoría, la rutina es corta:- Compruebe la versión en el menú del navegador. Cualquier 15.0.24 o anterior no tiene este backport.
- Actualice en el sitio con el actualizador integrado o instale una copia nueva desde la página oficial de descargas.
- Si instala de cero, dedique el minuto extra a leer cómo verificar correctamente las descargas de Tor antes de ejecutar el instalador.
- No toque los ajustes de seguridad incluidos. La página de descargas repite el consejo de siempre: las extensiones adicionales pueden eludir Tor o comprometer la privacidad, y el navegador ya trae el modo solo-HTTPS y NoScript.