Chi naviga con Firefox o Tor Browser farebbe bene a fermarsi un attimo e controllare la versione installata, perché c’è stata una falla piuttosto seria che meritava attenzione immediata. I ricercatori di Nebula Security hanno mostrato una cosa che fa una certa impressione. Bastava una singola pagina web costruita ad arte per prendere il controllo completo del browser. Niente download, niente clic su bottoni sospetti. Bastava aprirla.
Come funzionava la vulnerabilità di Firefox
Il problema porta un nome tecnico, CVE-2026-10702, ed è stato classificato come ad alta gravità. Le sue radici affondano nel motore JavaScript di Firefox, quel SpiderMonkey su cui è costruito anche Tor Browser. Mozilla ha rilasciato la correzione il 2 giugno 2026 con Firefox 151.0.3. Poco dopo il Tor Project ha integrato la stessa patch nella versione Tor Browser 15.0.19, arrivata il 20 luglio 2026.
Per capire dove stesse l’inghippo bisogna guardare al compilatore JIT, cioè quella parte di SpiderMonkey che ottimizza al volo l’esecuzione del codice JavaScript mentre si naviga. Durante certi passaggi di questa ottimizzazione il compilatore sbagliava a gestire la memoria. In pratica continuava a usare un puntatore che rimandava a un buffer già liberato, generando quella condizione che in gergo si chiama use-after-free. Sembra un dettaglio da nerd, e in parte lo è, ma è proprio da lì che nascono i guai. Da quell’errore un attaccante poteva costruire strumenti per leggere pezzi di memoria a piacimento e creare oggetti fasulli dentro il processo del renderer.
Perché per chi usa Tor era un problema serio
Il risultato concreto è che visitare una pagina preparata apposta permetteva di eseguire codice arbitrario nel browser, senza che l’utente dovesse muovere un dito. Per chi usa Tor la faccenda si fa ancora più pesante. Compromettere il renderer significa scavalcare quell’isolamento che il browser dovrebbe garantire, e da lì la strada verso l’esposizione dell’identità reale è aperta. Nebula Security lo ha dimostrato pubblicando su X un video in cui apre la fotocamera del dispositivo sfruttando proprio quella falla, con un commento diretto: “Watch us open the camera and uncover the anonymous identity behind Tor browser […] Update your Tor!”
C’è un aspetto di questa vicenda che vale la pena sottolineare. Il difetto non stava in Tor come progetto, ma nel motore JavaScript che ci gira sotto. Questo vuol dire che qualsiasi browser costruito su Firefox nelle versioni precedenti alla 151.0.3 era potenzialmente esposto allo stesso rischio. La differenza sta nelle aspettative. Chi sceglie Tor lo fa perché vuole anonimato, e una falla del genere quel anonimato lo cancella del tutto.
La buona notizia è che la correzione c’è già ed è pronta da tempo. Chi ha installato Tor Browser 15.0.19 o una versione successiva può stare tranquillo. Chi invece non ha idea di quale versione stia girando sul proprio dispositivo, il consiglio è semplice. Aprire le impostazioni e verificarlo adesso.