Tor Browser 15.0.25 embarque les correctifs de sécurité de Firefox : ce que la mise à jour change vraiment pour les utilisateurs
Le Tor Project a publié Tor Browser 15.0.25 le 12 octobre 2026, et la ligne qui compte le plus se cache discrètement dans le changelog : un backport des correctifs de sécurité de Firefox 158. Le navigateur est disponible sur la page de téléchargement officielle et dans le répertoire de distribution du projet, et l'annonce reste sobre : cette version existe d'abord pour apporter les mises à jour de sécurité de Firefox aux utilisateurs de Tor.
This version includes important security updates to Firefox.Cette phrase de l'annonce est en dessous de la réalité. Outre le backport Firefox, la 15.0.25 met à jour le démon Tor, rafraîchit deux bibliothèques importantes pour la sécurité et modifie discrètement le certificat de signature de code Windows de l'exécutable.
Ce que contient réellement la 15.0.25
Le changelog complet depuis Tor Browser 15.0.24, publié sur le forum du projet et le blog de Tor, se lit ainsi :- Tor mis à jour en 0.4.9.14
- NoScript mis à jour en 13.6.36.1984
- OpenSSL mis à jour en 3.5.9
- Backport des correctifs de sécurité de Firefox 158 (issue #45382 de tor-browser)
- Système de build : le wrapper sign-exe de Windows utilise désormais un nouveau certificat de signature Windows
L'avis Firefox 158 derrière le backport
Mozilla a annoncé les correctifs concernés le 13 octobre dans la MFSA 2026-106 pour Firefox 158, avec une gravité globale élevée. La liste des vulnérabilités de gravité haute est longue et dominée par les classes d'exploits classiques : élévation de privilèges dans le composant de mise à jour de l'application (CVE-2026-109704), plusieurs sandbox escapes et use-after-free dans le composant réseau, un use-after-free dans le stockage IndexedDB, une mauvaise compilation JIT dans WebAssembly et une série de bugs de conditions aux limites dans le moteur JavaScript, beaucoup attribués à Amy Burnett d'OpenAI. L'avis correspondant pour la branche à support étendu, MFSA 2026-108 pour Firefox ESR 153.5, reprend le même ensemble à impact élevé, et c'est précisément cette ligne ESR qui sert de base à Tor Browser. Une réserve s'impose : le billet de Tor n'énumère pas les CVE individuels intégrés au backport 15.0.25 ; l'entrée du changelog se lit donc comme un paquet, pas comme une carte bug par bug.Pourquoi les correctifs arrivent en même temps que ceux de Mozilla, et non des mois plus tard
Tor Browser est un build de Firefox patché : chaque correctif de Mozilla doit être porté sur la base de code spécifique à Tor, vérifié face aux patches de confidentialité et d'antifingerprinting, recompilé pour chaque plateforme et signé avant publication par le projet. Cette chaîne coûte des jours, pas des mois. Cette fois, l'écart était minime : le billet du blog de Tor est daté du 12 octobre, les avis correspondants de Mozilla du 13, et le canal alpha était déjà passé à 16.0a14 à la mi-octobre. La chaîne continue de tourner. Le 20 octobre, Mozilla a publié des avis de suivi pour Firefox 158.0.1, Firefox ESR 153.5.1 et Firefox ESR 115.43.1 ; d'autres travaux d'empaquetage côté Tor sont donc probables. Au moment de la rédaction, aucune version stable correspondante de Tor Browser n'avait été annoncée.La routine de mise à jour concrète
Pour la plupart des utilisateurs, la routine est courte :- Vérifiez votre version dans le menu du navigateur. Tout ce qui est en 15.0.24 ou plus ancien n'a pas ce backport.
- Mettez à jour sur place via le module de mise à jour intégré, ou installez une copie neuve depuis la page de téléchargement officielle.
- Si vous installez une copie neuve, prenez la minute supplémentaire pour lire comment bien vérifier vos téléchargements Tor avant de lancer l'installateur.
- Ne touchez pas aux réglages de sécurité fournis. La page de téléchargement répète le conseil habituel : les extensions supplémentaires peuvent contourner Tor ou compromettre la vie privée, et le navigateur embarque déjà le mode HTTPS-only et NoScript.