Tor Browser sotto attacco: il bug che esegue codice senza clic

È sufficiente aprire una pagina web preparata da un attaccante per eseguire codice all’interno di Tor Browser, senza scaricare file, autorizzare operazioni o interagire con finestre di dialogo. La dimostrazione pubblicata da Nebula Security rende la falla CVE-2026-10702 molto più concreta di quanto lasciasse intuire il sintetico bollettino Mozilla: non un semplice crash del browser, ma una vulnerabilità sfruttabile per prendere il controllo del processo che elabora i contenuti web.

Il problema interessa SpiderMonkey, il motore JavaScript di Firefox sul quale si basa anche Tor Browser. Nebula Security ha costruito un exploit funzionante e lo ha usato come punto di partenza per una catena capace di arrivare fino ai privilegi root su Android 17, mostrando l’attacco anche contro Tor Browser. Mozilla ha corretto il bug il 2 giugno 2026 con Firefox 151.0.3; Tor Project ha successivamente trasferito le necessarie correzioni nel ramo ESR utilizzato dal suo browser. Tor Browser 15.0.19 è quindi la versione più recente da considerarsi sicura e invulnerabile all’attacco.

Il difetto nascosto nelle ottimizzazioni JavaScript di Firefox

I browser non interpretano ogni istruzione JavaScript nello stesso modo dall’inizio alla fine. Quando una funzione viene eseguita ripetutamente, il motore può considerarla “calda” e compilarla in codice macchina ottimizzato: l’obiettivo è ridurre i tempi di esecuzione delle applicazioni web più complesse.

SpiderMonkey utilizza più livelli di compilazione JIT, acronimo di Just-In-Time. Tra i componenti coinvolti troviamo Warp, Ion e una serie di rappresentazioni intermedie attraverso le quali il codice JavaScript viene analizzato, semplificato e trasformato prima di diventare codice nativo.

Le ottimizzazioni funzionano soltanto se il compilatore descrive correttamente gli effetti prodotti da ogni operazione. Se un’istruzione legge un dato senza modificarlo, JIT può riutilizzare il valore già caricato; se, invece, l’istruzione può cambiare l’oggetto o riallocare memoria, il compilatore deve invalidare le informazioni precedenti.

CVE-2026-10702 nasce proprio dalla violazione di tale regola: un’operazione interna denominata MObjectToIterator, usata durante alcune ottimizzazioni legate all’enumerazione delle proprietà degli oggetti, poteva provocare modifiche alla memoria pur essendo descritta al compilatore come una semplice operazione di lettura.

Il difetto emerge quando il compilatore riceve un’informazione sbagliata sugli effetti collaterali di un’istruzione: un puntatore letto prima di una riallocazione può essere considerato ancora valido e riutilizzato dopo che la memoria alla quale faceva riferimento è già stata liberata.

Perché Tor Browser è coinvolto

Tor Browser non implementa un motore web completamente autonomo: deriva da Firefox ESR e ne conserva componenti fondamentali, compreso SpiderMonkey. Le modifiche introdotte dal Tor Project riguardano la rete Tor, l’isolamento dei siti, la resistenza al fingerprinting, la gestione delle identità e numerosi altri aspetti legati alla privacy, ma non eliminano ogni possibile vulnerabilità ereditata da Firefox.

Nebula afferma di avere sfruttato CVE-2026-10702 anche contro Tor Browser. La dimostrazione mostra l’accesso alla videocamera e il possibile recupero di informazioni capaci di compromettere l’anonimato della vittima. Tor protegge il percorso del traffico di rete, ma non può compensare automaticamente l’esecuzione di codice ostile all’interno del browser o del dispositivo.

Un attaccante che ottiene codice nel processo del browser potrebbe tentare di accedere ai dati visibili alla pagina, osservare l’attività dell’utente, sfruttare altre interfacce disponibili o preparare il passaggio successivo dell’attacco. Per leggere file esterni al profilo, usare liberamente dispositivi hardware o interrogare direttamente la rete fuori da Tor, l’aggressore deve però superare ulteriori barriere.

La frase “compromettere Tor Browser” è dunque corretta se riferita al processo che esegue i contenuti web; diventa imprecisa quando interpretata come sinonimo di controllo completo e immediato del sistema operativo. CVE-2026-10702, da sola, permette di eseguire codice nel processo di rendering del browser. Non equivale automaticamente al controllo completo del computer, alla lettura indiscriminata dei file o alla rivelazione dell’indirizzo IP reale dell’utente Tor. Per raggiungere tali risultati servono altri passaggi, come l’uscita dalla sandbox o lo sfruttamento di una seconda vulnerabilità a livello di sistema operativo.

Il bug è davvero così grave?

Come vulnerabilità del browser, CVE-2026-10702 è certamente grave. Permette a una pagina web di arrivare all’esecuzione di codice nativo nel renderer senza richiedere credenziali, download o autorizzazioni.

Per Tor Browser, il rischio assume un peso maggiore. Chi usa Tor può farlo per proteggersi da sorveglianza, censura o avversari particolarmente motivati. Anche una compromissione limitata del processo web può offrire informazioni “delicate” o preparare il terreno all’uso di tecniche di deanonimizzazione. Una vulnerabilità sfruttabile con la sola visita di una pagina web malevola rappresenta quindi un rischio particolarmente serio per giornalisti, attivisti, ricercatori e utenti esposti ad attacchi mirati.

Parlare di “zero-day” è corretto rispetto alla scoperta iniziale, quando Mozilla non disponeva ancora di una patch risolutiva. Adesso, sia Firefox che Tor Browser hanno corretto problema e distribuito gli aggiornamenti del caso.

Quali versioni risultavano interessate: aggiornarle subito!

Mozilla ha classificato CVE-2026-10702 con impatto “high” e ha corretto il problema di sicurezza, come anticipato in precedenza, in Firefox 151.0.3. Un’analisi delle modifiche al codice colloca l’introduzione della dichiarazione errata nel ramo Firefox 147; il difetto risulta presente almeno fino a Firefox 151.0.2.

La situazione di Firefox ESR e Tor Browser richiede maggiore cautela. Il codice specifico individuato nel ramo stabile non compariva nello stesso modo in Firefox ESR 140.12, ma Tor Project ha comunque incluso in Tor Browser 15.0.19 un insieme di correzioni di sicurezza trasferite da Firefox 153.

Sottolineiamo quindi che la versione da considerare sicura per gli utenti di Tor è quindi Tor Browser 15.0.19 o successiva. Chi usa una release precedente dovrebbe aggiornare immediatamente.