Tor Browser 15.0.25 brengt Firefox-beveiligingsfixes mee: wat de update echt verandert voor gebruikers
Het Tor Project bracht op 12 oktober 2026 Tor Browser 15.0.25 uit, en de regel die er het meest toe doet staat nuchter in de changelog: een backport van de beveiligingsfixes uit Firefox 158. De browser is verkrijgbaar via de officiële downloadpagina en de distributiedirectory van het project, en de aankondiging blijft sober: deze versie bestaat allereerst om de Firefox-beveiligingsupdates bij Tor-gebruikers te brengen.
This version includes important security updates to Firefox.Die zin uit de aankondiging doet het onderwerp tekort. Naast de Firefox-backport werkt 15.0.25 de Tor-daemon bij, ververset twee beveiligingsrelevante bibliotheken en verandert stilletjes het Windows-certificaat waarmee het uitvoerbare bestand is ondertekend.
Wat er echt in 15.0.25 zit
De volledige changelog sinds Tor Browser 15.0.24, gepubliceerd op het forum van het project en de Tor-blog, luidt als volgt:- Tor bijgewerkt naar 0.4.9.14
- NoScript bijgewerkt naar 13.6.36.1984
- OpenSSL bijgewerkt naar 3.5.9
- Backport van beveiligingsfixes uit Firefox 158 (issue #45382 van tor-browser)
- Bouwsysteem: de Windows sign-exe-wrapper gebruikt nu een nieuw Windows-ondertekeningscertificaat
Het Firefox 158-advies achter de backport
Mozilla kondigde de onderliggende fixes aan op 13 oktober in MFSA 2026-106 voor Firefox 158, met een algemene impactclassificatie van hoog. De lijst met high-severity-vondsten is lang en wordt gedomineerd door de klassieke exploitklassen: privilege-escalatie in de Application Update-component (CVE-2026-109704), meerdere sandbox escapes en use-after-free-bugs in de netwerkcomponent, een use-after-free in IndexedDB-opslag, JIT-miscompilatie in WebAssembly en een reeks boundary-condition-bugs in de JavaScript-engine, waarvan velen op het conto van Amy Burnett van OpenAI komen. Het bijbehorende advies voor de extended support-tak, MFSA 2026-108 voor Firefox ESR 153.5, bevat dezelfde set met hoge impact, en precies die ESR-lijn is de basis waarop Tor Browser bouwt. Eén kanttekening: het Tor-bericht somt niet op welke individuele CVE's in de 15.0.25-backport zijn terechtgekomen; de changelog-regel moet dus als bundel worden gelezen, niet als bug-voor-bug-kaart.Waarom de fixes samen met die van Mozilla arriveren, en niet maanden later
Tor Browser is een gepatchte Firefox-build: elke Mozilla-fix moet worden geport naar de Tor-specifieke codebasis, getoetst aan de privacy- en fingerprinting-patches, opnieuw gebouwd voor elk platform en ondertekend voordat het project publiceert. Dat traject kost dagen, geen maanden. Dit keer was de afstand minimaal: de Tor-blogpost is gedateerd 12 oktober, de bijbehorende Mozilla-adviezen 13 oktober, en het alphakanaal zat halverwege de maand al op 16.0a14. Het traject gaat door. Op 20 oktober publiceerde Mozilla vervolgradviezen voor Firefox 158.0.1, Firefox ESR 153.5.1 en Firefox ESR 115.43.1, dus meer verpakkingswerk aan Tor-kant is waarschijnlijk. Bij het schrijven van dit stuk was geen overeenkomstige stabiele Tor Browser-release aangekondigd.De praktische updateroutine
Voor de meeste gebruikers is de routine kort:- Controleer je versie in het browsermenu. Alles op 15.0.24 of ouder mist deze backport.
- Werk in place bij via de ingebouwde updater of installeer een verse kopie vanaf de officiële downloadpagina.
- Als je vers installeert, neem de extra minuut en lees voordat je het installatieprogramma start hoe je Tor-downloads goed verifieert.
- Laat de meegeleverde beveiligingsinstellingen staan. De downloadpagina herhaalt het vaste advies: extra add-ons kunnen Tor omzeilen of de privacy schaden, en de browser heeft al de HTTPS-only-modus en NoScript aan boord.