Tor Browser 15.0.25 带来 Firefox 安全修复：这次更新对用户究竟改变了什么
Tor 项目于 2026 年 10 月 12 日发布了 Tor Browser 15.0.25，而最重要的那行字安静地待在 changelog 里：来自 Firefox 158 的安全修复后移植（backport）。浏览器可从官方下载页面和项目的发布目录获取，公告本身也写得很朴素：这个版本的存在，首先就是为了把 Firefox 的安全更新带给 Tor 用户。
This version includes important security updates to Firefox.公告里的这句话说得很轻。除了 Firefox 后移植之外，15.0.25 还更新了 Tor 守护进程本身，刷新了两个与安全相关的库，并悄悄更换了 Windows 可执行文件所用的代码签名证书。
15.0.25 里到底有什么
自 Tor Browser 15.0.24 以来的完整 changelog，按项目论坛和 Tor 博客公布的内容如下：- Tor 更新至 0.4.9.14
- NoScript 更新至 13.6.36.1984
- OpenSSL 更新至 3.5.9
- 来自 Firefox 158 的安全修复后移植（tor-browser issue #45382）
- 构建系统：Windows 的 sign-exe 包装器改用新的 Windows 签名证书
后移植背后的 Firefox 158 安全公告
Mozilla 于 10 月 13 日在针对 Firefox 158 的 MFSA 2026-106 中公布了这些修复，整体影响评级为高。高危列表很长，且几乎全是经典漏洞类型：应用更新组件中的权限提升（CVE-2026-109704）、网络组件中的多个沙箱逃逸与释放后使用缺陷、IndexedDB 存储中的释放后使用、WebAssembly 的 JIT 错误编译，以及 JavaScript 引擎中的一系列边界条件缺陷，其中许多归功于 OpenAI 的 Amy Burnett。 扩展支持分支对应的公告 MFSA 2026-108（Firefox ESR 153.5）包含同样的高影响集合，而 Tor Browser 正是构建在这条 ESR 线上。这里需要一点保留：Tor 的发布公告没有逐一列出哪些 CVE 进入了 15.0.25 的后移植，因此 changelog 条目应视为一个整体包，而不是逐漏洞的对照表。为什么修复与 Mozilla 同步到达，而不是晚几个月
Tor Browser 是打过补丁的 Firefox 构建：Mozilla 的每个修复都要移植到 Tor 特有的代码库上，对照隐私与反指纹补丁进行验证，为每个平台重新构建并签名，之后项目才会发布。这条流水线的代价是以天计，而不是以月计。这次的间隔很小：Tor 博客文章的日期是 10 月 12 日，Mozilla 对应公告是 10 月 13 日，而 alpha 通道在月中旬已经走到 16.0a14。 流水线还在继续。10 月 20 日，Mozilla 又发布了针对 Firefox 158.0.1、Firefox ESR 153.5.1 和 Firefox ESR 115.43.1 的后续公告，因此 Tor 方面大概率还有打包工作要做。截至撰稿时，Tor Browser 尚未宣布对应的稳定版本。实用的更新流程
对多数用户来说，流程很短：- 在浏览器菜单里查看版本号。凡 15.0.24 或更旧，都缺少这次后移植。
- 用内置更新器就地更新，或从官方下载页面安装全新副本。
- 如果是全新安装，请多花一分钟，先读一读如何正确验证 Tor 下载文件，再运行安装程序。
- 不要改动内置的安全设置。下载页面反复强调老规矩：额外安装的扩展可能绕过 Tor 或损害隐私，而浏览器本就自带仅 HTTPS 模式和 NoScript。