Tor Browser 16.0.1 — обновление безопасности: Firefox 153.7.0esr и исправление для Android в тот же день
Tor Browser 16.0.1 вышел, и проект называет его тем, чем он является: важным обновлением безопасности для Firefox. Сборка появилась 10 ноября 2026 года, менее чем через две недели после того, как 16.0 стал первым стабильным Tor Browser на ветке Firefox ESR 153, и переводит движок браузера на Firefox и GeckoView 153.7.0esr. Встроенный клиент tor теперь 0.4.9.16, NoScript — 13.6.38.1984, согласно анонсу выпуска.
Что изменилось в 16.0.1
На десктопе сборки для Windows, macOS и Linux переходят на Firefox 153.7.0esr; на Android та же версия приходит как GeckoView 153.7.0esr. Ребейз отслеживается под tor-browser#45439. Кроме того, выпуск поднимает zlib до 1.4 и меняет две вещи в системе сборки Android: новый apksigner из build-tools_r37_linux.zip и добавление --preserve-alignment true в вызовы подписи apksigner. Ни то, ни другое не видно пользователю, но оба важны для того, как создаются и подписываются пакеты Android. Содержательный пункт — это бэкпорт. В списке изменений указан бэкпорт исправлений безопасности из Firefox 160 под tor-browser#45442: исправления, которые Mozilla выпустила в более поздней версии Firefox, перенесены обратно в ветку ESR 153, на которой построен Tor Browser. Tor Browser не следует быстрому каналу релизов Firefox, поэтому это обычный путь доставки исправления безопасности пользователям до следующего цикла ESR.Почему точечный выпуск всё равно важен
Tor Browser наследует движок от Firefox ESR, а ветки ESR получают исправления безопасности медленнее, чем основной канал. Поэтому точечные выпуски вроде 16.0.1 — это момент, когда эти исправления действительно доходят до пользователей Tor. Тот, кто остался на 16.0, работает на Firefox 153.6.0esr, отставая на один шаг безопасности ESR. Разрыв мал в номерах версий и не мал по сути: переносятся те исправления, которые Mozilla сочла нужным отправить всем.Этот выпуск включает важные обновления безопасности для Firefox.Этой фразы достаточно как обоснования обновиться без промедления. Нет новой функции, которую нужно взвешивать, нет изменения интерфейса, к которому надо привыкать, и нет настроек, которые нужно пересматривать. Обновление является обслуживающим в строгом смысле, и единственной причиной отложить его была бы конкретная проблема совместимости, которую список изменений не описывает.
Исправление только для Android в тот же день
Tor Browser 16.0.2 вышел в тот же день, 10 ноября, и только для Android. В примечаниях к выпуску описана поломка, специфичная для платформы, вызванная обновлением zlib, и запись в списке изменений прямо называет механизм: tor в Android 16.0.1 подхватил динамическую zlib (tor-browser-build#41919). Иными словами, бинарник tor в пакете Android разрешал zlib во время выполнения вместо использования встроенной копии, и изменение zlib в среде сборки оставило его указывающим на то, против чего он не собирался. В списке изменений 16.0.1 также указан подъём zlib до 1.4, что согласуется с записью в 16.0.2. Урок касается упаковки, а не самого Tor. Десктопные сборки поставляют самодостаточный tor с зафиксированными зависимостями; на Android тот же компонент может оказаться динамически слинкованным с библиотекой, которую предоставляет сборка или платформа, и тогда посторонний подъём версии становится ошибкой времени выполнения. Это ошибка, которая проявляется только на одной платформе, поэтому исправление ограничили Android и выпустили в течение нескольких часов, а не отложили до следующего планового релиза.Как убедиться, что у вас правильная сборка
Страница загрузки и каталог распространения содержат 16.0.1, и в листинге каталога видны сборки для Windows (i686 и x86_64), macOS, Linux (x86_64 и aarch64) и Android (aarch64, armv7 и x86_64), а также пакеты инкрементального обновления с 15.0.25, 15.0.26 и 16.0. Исходный архив называется src-firefox-tor-browser-153.7.0esr-16.0-1-build2.tar.xz, то есть база ESR указана прямо в имени файла.- Проверьте версию в диалоге «О браузере»; на десктопе должно быть 16.0.1, на Android — 16.0.2.
- Сравните загруженный файл с sha256sums-signed-build.txt в каталоге 16.0.1 и проверьте соответствующую подпись .asc.
- Если вы пользуетесь встроенным обновлением, убедитесь, что применился инкрементальный MAR, а не полная переустановка.
- На Android берите 16.0.2, а не 16.0.1, поскольку предыдущая сборка несёт проблему с zlib.