Tor Browser 16.0.1 is een beveiligingsupdate: Firefox 153.7.0esr en dezelfde dag een Android-fix
Tor Browser 16.0.1 is uit, en het project noemt het wat het is: een belangrijke beveiligingsupdate voor Firefox. De build verscheen op 10 november 2026, nog geen twee weken nadat 16.0 de eerste stabiele Tor Browser op de Firefox ESR 153-lijn werd, en zet de browser-engine op Firefox en GeckoView 153.7.0esr. De meegeleverde tor-client is nu 0.4.9.16 en NoScript is 13.6.38.1984, aldus de release-aankondiging.
Wat er in 16.0.1 is veranderd
Op desktop gaan de builds voor Windows, macOS en Linux allemaal naar Firefox 153.7.0esr; op Android komt dezelfde versie als GeckoView 153.7.0esr. De rebase staat geregistreerd als tor-browser#45439. Daarnaast tilt de release zlib naar 1.4 en verandert hij twee dingen in het Android-bouwsysteem: een nieuwe apksigner uit build-tools_r37_linux.zip, en de toevoeging van --preserve-alignment true aan de apksigner-aanroepen. Beide zijn niet zichtbaar voor gebruikers, maar ze zijn wel van belang voor hoe de Android-pakketten worden gemaakt en ondertekend. Het inhoudelijke punt is een backport. De changelog noemt onder tor-browser#45442 een backport van beveiligingsfixes uit Firefox 160: fixes die Mozilla in een latere Firefox-versie uitbracht, zijn teruggehaald naar de ESR 153-tak waarop Tor Browser is gebouwd. Tor Browser volgt niet het snelle releasekanaal van Firefox, dus dit is de normale route om een beveiligingsfix bij gebruikers te krijgen vóór de volgende ESR-cyclus.Waarom een puntrelease toch telt
Tor Browser erft zijn engine van Firefox ESR, en ESR-takken krijgen beveiligingsfixes in een langzamer tempo dan het hoofdkanaal. Daardoor zijn puntreleases zoals 16.0.1 het moment waarop die fixes Tor-gebruikers daadwerkelijk bereiken. Wie nog op 16.0 zit, draait er Firefox 153.6.0esr onder: één ESR-beveiligingsstap achter. Het verschil is klein in versienummers en niet klein van aard: de fixes die worden teruggehaald, zijn de fixes die Mozilla de moeite waard vond om aan iedereen te sturen.Deze release bevat belangrijke beveiligingsupdates voor Firefox.Die zin is de hele rechtvaardiging om snel bij te werken. Er is geen nieuwe functie om af te wegen, geen interfaceverandering om aan te wennen en geen configuratie om te herzien. De update is onderhoud in de strikte zin, en de enige reden om hem uit te stellen zou een specifiek compatibiliteitsprobleem zijn, dat de changelog niet beschrijft.
Dezelfde dag een fix alleen voor Android
Tor Browser 16.0.2 verscheen dezelfde dag, 10 november, en is alleen voor Android. De release notes beschrijven een platformspecifieke breuk door een zlib-update, en de changelog-entry is duidelijk over het mechanisme: het tor in Android 16.0.1 pakte de dynamische zlib (tor-browser-build#41919). Met andere woorden, het tor-binary in het Android-pakket loste zlib tijdens runtime op in plaats van een meegeleverde kopie te gebruiken, en een zlib-wijziging in de buildomgeving liet het wijzen naar iets waar het niet tegen was gebouwd. De changelog van 16.0.1 noemt ook een zlib-upgrade naar 1.4, wat aansluit bij de opmerking in 16.0.2. De les gaat over packaging, niet over Tor zelf. Desktopbundels leveren een op zichzelf staand tor met vastgezette afhankelijkheden; op Android kan hetzelfde onderdeel dynamisch worden gekoppeld aan een bibliotheek die de build of het platform levert, en dan wordt een losstaande versieverhoging een runtime-fout. Het is het soort bug dat alleen op één platform opduikt, en daarom bleef de fix beperkt tot Android en werd hij binnen enkele uren uitgebracht in plaats van doorgeschoven naar de volgende geplande release.Hoe u controleert of u de juiste build hebt
De downloadpagina en de distributiemap bevatten beide 16.0.1, en de mapvermelding toont builds voor Windows (i686 en x86_64), macOS, Linux (x86_64 en aarch64) en Android (aarch64, armv7 en x86_64), plus incrementele updatepakketten vanaf 15.0.25, 15.0.26 en 16.0. Het bronarchief heet src-firefox-tor-browser-153.7.0esr-16.0-1-build2.tar.xz, waarmee de ESR-basis al in de bestandsnaam staat.- Controleer de versie in het info-venster van de browser; die moet 16.0.1 zijn op desktop en 16.0.2 op Android.
- Vergelijk uw download met sha256sums-signed-build.txt in de map 16.0.1 en controleer de bijbehorende .asc-handtekening.
- Als u de ingebouwde updater gebruikt, controleer dan of de incrementele MAR is toegepast en niet een volledige herinstallatie.
- Neem op Android 16.0.2 in plaats van 16.0.1, omdat de eerdere build het zlib-probleem bevat.