Tor Browser 16.0.1 est une mise à jour de sécurité : Firefox 153.7.0esr et un correctif Android le jour même
Tor Browser 16.0.1 est disponible, et le projet le dit tel qu'il est : une mise à jour de sécurité importante pour Firefox. La version est sortie le 10 novembre 2026, moins de deux semaines après que 16.0 est devenu le premier Tor Browser stable sur la branche Firefox ESR 153, et elle fait passer le moteur du navigateur à Firefox et GeckoView 153.7.0esr. Le client tor embarqué passe à 0.4.9.16 et NoScript à 13.6.38.1984, selon l'annonce de version.
Ce qui change dans 16.0.1
Sur ordinateur, les versions Windows, macOS et Linux passent toutes à Firefox 153.7.0esr ; sur Android, la même version arrive sous la forme de GeckoView 153.7.0esr. Le rebase est suivi sous tor-browser#45439. En parallèle, la version fait passer zlib à 1.4 et modifie deux éléments du système de compilation Android : un nouvel apksigner issu de build-tools_r37_linux.zip, et l'ajout de --preserve-alignment true aux appels de signature apksigner. Rien de tout cela n'est visible pour l'utilisateur, mais les deux comptent pour la façon dont les paquets Android sont produits et signés. L'élément de fond est un backport. Le journal des modifications indique un backport de correctifs de sécurité de Firefox 160 sous tor-browser#45442 : des correctifs publiés par Mozilla dans une version ultérieure de Firefox ont été ramenés dans la branche ESR 153 sur laquelle Tor Browser est construit. Tor Browser ne suit pas le canal de publication rapide de Firefox ; c'est donc la voie normale pour qu'un correctif de sécurité atteigne les utilisateurs avant le cycle ESR suivant.Pourquoi une version corrective compte encore
Tor Browser hérite son moteur de Firefox ESR, et les branches ESR reçoivent les correctifs de sécurité à un rythme plus lent que le canal principal. Les versions correctives comme 16.0.1 sont donc le moment où ces correctifs atteignent réellement les utilisateurs de Tor. Quiconque reste sur 16.0 fait tourner Firefox 153.6.0esr en dessous, soit un cran de sécurité ESR en retard. L'écart est faible en numéros de version et ne l'est pas par nature : les correctifs ramenés sont ceux que Mozilla a jugés dignes d'être diffusés à tous.Cette version comprend d'importantes mises à jour de sécurité pour Firefox.Cette phrase justifie à elle seule une mise à jour rapide. Il n'y a aucune nouvelle fonctionnalité à peser, aucun changement d'interface auquel s'habituer, aucune configuration à revoir. La mise à jour est de maintenance au sens strict, et la seule raison de la reporter serait un problème de compatibilité précis, que le journal des modifications ne décrit pas.
Un correctif Android le jour même
Tor Browser 16.0.2 est sorti le même jour, le 10 novembre, et concerne uniquement Android. Les notes de version décrivent une rupture propre à une plateforme, causée par une mise à jour de zlib, et l'entrée du journal est directe sur le mécanisme : le tor d'Android 16.0.1 a récupéré la zlib dynamique (tor-browser-build#41919). Autrement dit, le binaire tor du paquet Android résolvait zlib à l'exécution au lieu d'utiliser une copie embarquée, et un changement de zlib dans l'environnement de compilation l'a laissé pointer vers quelque chose contre quoi il n'avait pas été compilé. Le journal de 16.0.1 mentionne aussi un passage de zlib à 1.4, ce qui correspond à la note de 16.0.2. La leçon porte sur l'empaquetage, pas sur Tor lui-même. Les paquets de bureau embarquent un tor autonome avec des dépendances figées ; sur Android, le même composant peut se retrouver lié dynamiquement à une bibliothèque fournie par la compilation ou la plateforme, et une montée de version sans rapport devient alors une panne à l'exécution. C'est le genre de bogue qui n'apparaît que sur une plateforme, d'où un correctif limité à Android et publié en quelques heures plutôt que reporté à la version planifiée suivante.Comment vérifier que vous avez la bonne version
La page de téléchargement et le répertoire de distribution proposent tous deux 16.0.1, et la liste du répertoire montre des versions pour Windows (i686 et x86_64), macOS, Linux (x86_64 et aarch64) et Android (aarch64, armv7 et x86_64), ainsi que des paquets de mise à jour incrémentale depuis 15.0.25, 15.0.26 et 16.0. L'archive source s'appelle src-firefox-tor-browser-153.7.0esr-16.0-1-build2.tar.xz, ce qui confirme la base ESR dans le nom du fichier lui-même.- Vérifiez la version dans la boîte de dialogue à propos du navigateur ; elle doit indiquer 16.0.1 sur ordinateur et 16.0.2 sur Android.
- Comparez votre téléchargement à sha256sums-signed-build.txt dans le répertoire 16.0.1, et vérifiez la signature .asc correspondante.
- Si vous utilisez le système de mise à jour intégré, confirmez que le MAR incrémental a été appliqué plutôt qu'une réinstallation complète.
- Sur Android, prenez 16.0.2 plutôt que 16.0.1, la version précédente portant le problème zlib.