Tor torna al centro dell’attenzione per via di una vulnerabilità che ha finito per riguardare anche Firefox, e la parte più fastidiosa è che bastava davvero poco per finire nei guai. Secondo quanto spiegato dai ricercatori di Nebula Security, il problema poteva scattare semplicemente aprendo una pagina web costruita ad hoc. Nessuna impostazione da toccare, nessun clic sospetto da fare, nessuna azione strana richiesta all’utente. Una singola pagina, e il gioco era fatto.
Come funzionava la falla che ha colpito Firefox e Tor
La vulnerabilità è stata catalogata con la sigla CVE-2026-10702 e permetteva l’esecuzione di codice dentro il processo che si occupa del rendering del browser, cioè quella parte che disegna e mostra le pagine sullo schermo. Mozilla non ha preso la cosa alla leggera e l’ha etichettata come vulnerabilità ad alta gravità, correggendola poi con il rilascio di Firefox 151.0.3.
Il punto è che il guaio non si è fermato al solo Firefox. Tutte le versioni di Tor Browser costruite sulle release vulnerabili di Firefox risultavano esposte allo stesso rischio. E qui c’è un dettaglio che lascia un po’ con l’amaro in bocca, perché non è stato possibile stabilire con precisione quali fossero le versioni interessate. Insomma, un’area grigia che non aiuta chi usa Tor proprio per stare tranquillo.
La catena di attacchi chiamata IonStack
Presa da sola, questa vulnerabilità non basta a impossessarsi completamente del dispositivo. Il motivo è tecnico ma abbastanza intuitivo, perché il codice viene eseguito all’interno della sandbox del browser, una sorta di gabbia che tiene separato ciò che accade nel programma dal resto del sistema. Non è quindi un accesso libero a tutto quanto.
I ricercatori di Nebula, però, l’hanno studiata come primo tassello di una catena di attacchi più ampia, battezzata IonStack. Questa catena è stata pensata e sviluppata per un dispositivo ARM64 con Android 17. Il codice reso pubblico dagli esperti è stato costruito per una versione specifica di Android, ma attenzione a un particolare non da poco. Il difetto che si trova dentro Firefox non dipende dall’architettura del processore. Tradotto in parole semplici, la debolezza del browser resta tale a prescindere dal tipo di chip montato sul dispositivo, il che allarga potenzialmente il raggio d’azione del problema oltre il singolo caso studiato.