Tor Browser 15.0.25 porta le correzioni di sicurezza di Firefox: cosa cambia davvero per gli utenti
Il Tor Project ha rilasciato Tor Browser 15.0.25 il 12 ottobre 2026, e la riga che conta di più sta discretamente nel changelog: un backport delle correzioni di sicurezza di Firefox 158. Il browser è disponibile sulla pagina di download ufficiale e nella directory di distribuzione del progetto, e l'annuncio resta sobrio: questa versione esiste, prima di tutto, per portare gli aggiornamenti di sicurezza di Firefox agli utenti di Tor.
This version includes important security updates to Firefox.Quella frase dell'annuncio è sotto tono rispetto al contenuto. Oltre al backport di Firefox, la 15.0.25 aggiorna il demone Tor, rinnova due librerie rilevanti per la sicurezza e cambia discretamente il certificato di firma del codice Windows dell'eseguibile.
Cosa contiene davvero la 15.0.25
Il changelog completo da Tor Browser 15.0.24, pubblicato sul forum del progetto e sul blog di Tor, recita così:- Tor aggiornato a 0.4.9.14
- NoScript aggiornato a 13.6.36.1984
- OpenSSL aggiornato a 3.5.9
- Backport delle correzioni di sicurezza di Firefox 158 (issue #45382 di tor-browser)
- Sistema di build: il wrapper sign-exe di Windows ora usa un nuovo certificato di firma Windows
L'advisory di Firefox 158 dietro il backport
Mozilla ha annunciato le correzioni di fondo il 13 ottobre nella MFSA 2026-106 per Firefox 158, con impatto complessivo alto. L'elenco delle vulnerabilità di gravità alta è lungo e dominato dalle classiche classi di exploit: privilege escalation nel componente di aggiornamento dell'applicazione (CVE-2026-109704), diversi sandbox escape e use-after-free nel componente di rete, un use-after-free nell'archiviazione IndexedDB, una compilazione JIT errata in WebAssembly e una serie di bug di condizioni al contorno nel motore JavaScript, molti attribuiti ad Amy Burnett di OpenAI. L'advisory corrispondente del ramo a supporto esteso, MFSA 2026-108 per Firefox ESR 153.5, porta lo stesso insieme ad alto impatto, ed è proprio quella linea ESR la base su cui poggia Tor Browser. Una precisazione d'obbligo: il post di Tor non elenca quali singole CVE siano entrate nel backport 15.0.25; la voce del changelog va quindi letta come un pacchetto, non come una mappa bug per bug.Perché le correzioni arrivano con quelle di Mozilla e non mesi dopo
Tor Browser è un build di Firefox con patch: ogni correzione di Mozilla va portata sulla base di codice specifica di Tor, verificata rispetto alle patch di privacy e antifingerprinting, ricompilata per ogni piattaforma e firmata prima che il progetto la pubblichi. Quella filiera costa giorni, non mesi. Questa volta la distanza è stata minima: il post del blog di Tor è datato 12 ottobre e gli advisory corrispondenti di Mozilla 13 ottobre, e il canale alpha era già passato a 16.0a14 a metà mese. La filiera continua ad avanzare. Il 20 ottobre Mozilla ha pubblicato advisory di follow-up per Firefox 158.0.1, Firefox ESR 153.5.1 e Firefox ESR 115.43.1, quindi è probabile altro lavoro di pacchettizzazione lato Tor. Al momento della scrittura non era stato annunciato un rilascio stabile corrispondente di Tor Browser.La routine di aggiornamento pratica
Per la maggior parte degli utenti la routine è breve:- Controllate la versione nel menu del browser. Tutto ciò che è alla 15.0.24 o precedente non ha questo backport.
- Aggiornate sul posto con l'updater integrato, oppure installate una copia fresca dalla pagina di download ufficiale.
- Se installate da zero, dedicate il minuto in più a leggere come verificare correttamente i download di Tor prima di avviare l'installer.
- Lasciate stare le impostazioni di sicurezza incluse. La pagina di download ripete il consiglio di sempre: le estensioni aggiuntive possono aggirare Tor o compromettere la privacy, e il browser ha già la modalità solo-HTTPS e NoScript.