Tor Browser si è ritrovato al centro di un problema di sicurezza tutt’altro che banale, perché basta aprire una pagina web costruita ad arte per far girare codice ostile dentro al browser. Niente file da scaricare, nessuna finestra di dialogo da confermare, zero clic richiesti all’utente. La dimostrazione pubblicata da Nebula Security ha reso la falla identificata come CVE-2026-10702 molto più concreta di quanto lasciasse immaginare il bollettino sintetico di Mozilla. Non si parla di un semplice crash del programma, ma di una vulnerabilità capace di far prendere il controllo del processo che elabora i contenuti web.
Il difetto riguarda SpiderMonkey, il motore JavaScript di Firefox su cui poggia anche Tor Browser. I ricercatori hanno costruito un exploit funzionante e lo hanno usato come trampolino per una catena capace di arrivare fino ai privilegi root su Android 17, mostrando l’attacco anche contro Tor Browser. Mozilla ha corretto tutto il 2 giugno 2026 con Firefox 151.0.3, mentre Tor Project ha poi trasferito le correzioni necessarie nel ramo ESR che il suo browser utilizza. La versione da considerare sicura è quindi Tor Browser 15.0.19.
Dove si nasconde il bug tra le ottimizzazioni JavaScript
I browser non trattano ogni istruzione JavaScript allo stesso modo. Quando una funzione viene eseguita più e più volte, il motore la considera “calda” e la compila in codice macchina ottimizzato, così da velocizzare le applicazioni web più pesanti. SpiderMonkey usa più livelli di compilazione JIT, cioè Just-In-Time, con componenti come Warp e Ion e una serie di rappresentazioni intermedie che analizzano e trasformano il codice prima che diventi nativo.
Il meccanismo regge solo se il compilatore descrive bene gli effetti di ogni operazione. Se un’istruzione legge un dato senza modificarlo, il valore già caricato può essere riutilizzato. Se invece l’istruzione cambia l’oggetto o sposta memoria, le informazioni precedenti vanno buttate. Ed è qui che nasce il guaio. Un’operazione interna chiamata MObjectToIterator, usata durante alcune ottimizzazioni legate all’enumerazione delle proprietà degli oggetti, poteva modificare la memoria pur essendo presentata al compilatore come una banale lettura. Risultato, un puntatore letto prima di una riallocazione veniva considerato ancora valido e riutilizzato quando la memoria a cui puntava era già stata liberata.
Perché Tor Browser finisce nel mirino
Tor Browser non ha un motore web tutto suo. Deriva da Firefox ESR e ne eredita pezzi fondamentali, SpiderMonkey compreso. Le modifiche del Tor Project riguardano la rete Tor, l’isolamento dei siti, la resistenza al fingerprinting e la gestione delle identità, ma non cancellano ogni vulnerabilità che arriva da Firefox. Nebula sostiene di aver sfruttato la falla anche contro Tor Browser, con una dimostrazione che mostra l’accesso alla videocamera e il possibile recupero di informazioni in grado di rompere l’anonimato della vittima.
Va detto con onestà, perché “compromettere Tor Browser” è vero se riferito al processo che esegue i contenuti web, ma diventa impreciso se letto come controllo totale e immediato del sistema operativo. Da sola, la vulnerabilità permette di eseguire codice nel processo di rendering. Non significa automaticamente leggere tutti i file o svelare l’indirizzo IP reale. Per arrivarci servono altri passaggi, come uscire dalla sandbox o sfruttare una seconda falla a livello di sistema.
Resta comunque un rischio pesante, soprattutto per chi usa Tor per difendersi da sorveglianza o censura. Giornalisti, attivisti e ricercatori sono i più esposti, perché anche una compromissione limitata può regalare informazioni delicate o preparare tecniche di deanonimizzazione. Parlare di zero-day era corretto al momento della scoperta, quando la patch ancora non c’era.
Mozilla ha classificato il problema con impatto “high” e lo ha risolto in Firefox 151.0.3. L’analisi del codice colloca l’errore nel ramo Firefox 147, con il difetto presente almeno fino a Firefox 151.0.2. Per gli utenti Tor la versione sicura è Tor Browser 15.0.19 o successiva, che include correzioni trasferite da Firefox 153. Chi usa una release precedente farebbe bene ad aggiornare subito.
