Tor Browser 16.0.1 è un aggiornamento di sicurezza: Firefox 153.7.0esr e una correzione per Android lo stesso giorno
Tor Browser 16.0.1 è disponibile, e il progetto lo definisce per quello che è: un importante aggiornamento di sicurezza per Firefox. La build è uscita il 10 novembre 2026, meno di due settimane dopo che la 16.0 è diventata il primo Tor Browser stabile sulla linea Firefox ESR 153, e porta il motore del browser a Firefox e GeckoView 153.7.0esr. Il client tor incluso ora è 0.4.9.16 e NoScript è 13.6.38.1984, secondo l'annuncio di rilascio.
Cosa è cambiato nella 16.0.1
Su desktop le build per Windows, macOS e Linux passano tutte a Firefox 153.7.0esr; su Android la stessa versione arriva come GeckoView 153.7.0esr. Il rebase è tracciato come tor-browser#45439. Insieme a questo, la release porta zlib alla 1.4 e cambia due cose nel sistema di build Android: un nuovo apksigner preso da build-tools_r37_linux.zip e l'aggiunta di --preserve-alignment true alle chiamate di firma di apksigner. Nulla di tutto ciò è visibile all'utente, ma entrambe le modifiche contano per come i pacchetti Android vengono prodotti e firmati. Il punto sostanziale è un backport. Il changelog elenca un backport delle correzioni di sicurezza da Firefox 160 sotto tor-browser#45442: correzioni pubblicate da Mozilla in una versione successiva di Firefox sono state riportate nel ramo ESR 153 su cui è costruito Tor Browser. Tor Browser non segue il canale di rilascio rapido di Firefox, quindi questa è la via normale per far arrivare una correzione di sicurezza agli utenti prima del ciclo ESR successivo.Perché una release puntuale conta comunque
Tor Browser eredita il motore da Firefox ESR, e i rami ESR ricevono le correzioni di sicurezza con un ritmo più lento rispetto al canale principale. Questo rende release puntuali come la 16.0.1 il momento in cui quelle correzioni raggiungono davvero gli utenti Tor. Chi è ancora sulla 16.0 esegue sotto Firefox 153.6.0esr, un passo di sicurezza ESR indietro. Il divario è piccolo nei numeri di versione e non è piccolo nella sostanza: le correzioni riportate sono quelle che Mozilla ha ritenuto di dover distribuire a tutti.Questa release include importanti aggiornamenti di sicurezza per Firefox.Questa frase è l'intera giustificazione per aggiornare subito. Non c'è nessuna nuova funzione da valutare, nessun cambiamento di interfaccia a cui abituarsi e nessuna configurazione da rivedere. L'aggiornamento è di manutenzione in senso stretto, e l'unica ragione per rimandarlo sarebbe uno specifico problema di compatibilità, che il changelog non descrive.
Una correzione solo per Android lo stesso giorno
Tor Browser 16.0.2 è uscito lo stesso giorno, il 10 novembre, ed è solo per Android. Le note di rilascio descrivono una rottura specifica della piattaforma causata da un aggiornamento di zlib, e la voce del changelog è esplicita sul meccanismo: il tor di Android 16.0.1 ha preso la zlib dinamica (tor-browser-build#41919). In altre parole, il binario tor nel pacchetto Android risolveva zlib a runtime invece di usare una copia inclusa, e un cambiamento di zlib nell'ambiente di build lo ha lasciato puntato a qualcosa contro cui non era stato compilato. Il changelog della 16.0.1 elenca anche un aggiornamento di zlib alla 1.4, che combacia con la nota della 16.0.2. La lezione riguarda il packaging, non Tor in sé. I bundle desktop includono un tor autonomo con dipendenze fissate; su Android lo stesso componente può finire collegato dinamicamente a una libreria fornita dalla build o dalla piattaforma, e allora un aggiornamento di versione non correlato diventa un errore a runtime. È il tipo di bug che si manifesta su una sola piattaforma, ed è per questo che la correzione è stata limitata ad Android e pubblicata in poche ore invece di essere rimandata alla release pianificata successiva.Come verificare di avere la build giusta
La pagina di download e la directory di distribuzione riportano entrambe la 16.0.1, e l'elenco della directory mostra build per Windows (i686 e x86_64), macOS, Linux (x86_64 e aarch64) e Android (aarch64, armv7 e x86_64), oltre ai pacchetti di aggiornamento incrementale dalla 15.0.25, 15.0.26 e 16.0. L'archivio dei sorgenti si chiama src-firefox-tor-browser-153.7.0esr-16.0-1-build2.tar.xz, il che conferma la base ESR già nel nome del file.- Controlla la versione nella finestra delle informazioni del browser; deve risultare 16.0.1 su desktop e 16.0.2 su Android.
- Confronta il download con sha256sums-signed-build.txt nella directory 16.0.1 e verifica la firma .asc corrispondente.
- Se usi l'aggiornamento integrato, accertati che sia stato applicato il MAR incrementale e non una reinstallazione completa.
- Su Android scegli la 16.0.2 invece della 16.0.1, dato che la build precedente porta con sé il problema di zlib.