Tor Browser 15.0.25 приносит исправления безопасности Firefox: что обновление реально меняет для пользователей
Проект Tor выпустил Tor Browser 15.0.25 12 октября 2026 года, и самая важная строка скромно стоит в changelog: бэкпорт исправлений безопасности из Firefox 158. Браузер доступен на официальной странице загрузки и в каталоге дистрибутива проекта, а анонс выдержан сухо: эта версия существует прежде всего для того, чтобы донести обновления безопасности Firefox до пользователей Tor.
This version includes important security updates to Firefox.Эта фраза из анонса скромнее содержания. Помимо бэкпорта Firefox, версия 15.0.25 обновляет сам демон Tor, освежает две значимые для безопасности библиотеки и тихо меняет сертификат подписи кода Windows у исполняемого файла.
Что на самом деле внутри 15.0.25
Полный changelog со времён Tor Browser 15.0.24, опубликованный на форуме проекта и в блоге Tor, выглядит так:- Tor обновлён до 0.4.9.14
- NoScript обновлён до 13.6.36.1984
- OpenSSL обновлён до 3.5.9
- Бэкпорт исправлений безопасности из Firefox 158 (issue #45382 tor-browser)
- Сборочная система: обёртка sign-exe в Windows теперь использует новый сертификат подписи Windows
Рекомендация Mozilla по Firefox 158, стоящая за бэкпортом
Mozilla объявила об исправлениях 13 октября в MFSA 2026-106 для Firefox 158 с общей оценкой воздействия «высокая». Список находок высокой критичности длинный и состоит из классических классов эксплойтов: повышение привилегий в компоненте обновления приложения (CVE-2026-109704), несколько sandbox escape и use-after-free в сетевом компоненте, use-after-free в хранилище IndexedDB, неверная JIT-компиляция в WebAssembly и серия ошибок граничных условий в движке JavaScript, многие из которых приписывают Эми Бёрнетт из OpenAI. Сопутствующая рекомендация для ветки расширенной поддержки, MFSA 2026-108 для Firefox ESR 153.5, содержит тот же набор критичных исправлений, и именно эта линия ESR лежит в основе Tor Browser. Одна оговорка: в публикации Tor не перечислено, какие конкретные CVE вошли в бэкпорт 15.0.25, поэтому запись changelog следует читать как единый пакет, а не карту «баг за багом».Почему исправления приходят вместе с релизами Mozilla, а не месяцами позже
Tor Browser — это пропатченная сборка Firefox: каждое исправление Mozilla нужно перенести на специфичную для Tor кодовую базу, сверить с патчами приватности и защиты от фингерпринтинга, пересобрать для каждой платформы и подписать, прежде чем проект его опубликует. Такой конвейер стоит дней, а не месяцев. В этот раз разрыв был минимальным: запись в блоге Tor датирована 12 октября, рекомендации Mozilla — 13-м, а альфа-канал к середине месяца уже перешёл на 16.0a14. Конвейер продолжает работать. 20 октября Mozilla опубликовала сопутствующие рекомендации для Firefox 158.0.1, Firefox ESR 153.5.1 и Firefox ESR 115.43.1, так что упаковочная работа на стороне Tor, вероятно, продолжится. На момент написания соответствующий стабильный релиз Tor Browser анонсирован не был.Практическая рутина обновления
Для большинства пользователей рутина короткая:- Проверьте версию в меню браузера. Всё, что 15.0.24 или старше, этого бэкпорта не имеет.
- Обновите на месте через встроенный обновитель или установите свежую копию с официальной страницы загрузки.
- Если ставите с нуля, потратьте лишнюю минуту и перед запуском установщика прочитайте, как правильно проверять загруженные Tor-файлы.
- Не трогайте встроенные настройки безопасности. Страница загрузки повторяет постоянный совет: дополнительные расширения могут обходить Tor или вредить приватности, а в браузере уже есть режим «только HTTPS» и NoScript.