Si vous utilisez Firefox ou Tor Browser pour naviguer sur Internet, il est fortement conseillé d'ouvrir vos paramètres et de vérifier la version installée. Les chercheurs de Nebula Security ont démontré qu'une simple page web malveillante suffit à compromettre totalement votre navigateur , sans que l'utilisateur ait besoin de télécharger quoi que ce soit ni de cliquer sur un bouton. La vulnérabilité, référencée CVE-2026-10702 , est classée comme critique et se situe au niveau du moteur JavaScript SpiderMonkey de Firefox, sur lequel repose le navigateur Tor. Mozilla a publié le correctif le 2 juin 2026 avec Firefox 151.0.3 ; le projet Tor l'a ensuite intégré à Tor Browser 15.0.19 , disponible le 20 juillet 2026 . Le problème réside dans le compilateur Just-In-Time (JIT) de SpiderMonkey , le composant qui optimise l'exécution du code JavaScript à la volée. Lors de certaines phases d'optimisation, le compilateur commet une erreur de gestion de la mémoire : il continue d'utiliser un pointeur vers un tampon qui a déjà été libéré , créant ainsi une situation appelée « utilisation après libération » . Cela suffit aux attaquants pour construire des primitives de lecture mémoire arbitraires et créer de faux objets dans le processus de rendu.

Concrètement, la consultation d'une page spécialement conçue permet l'exécution de code arbitraire dans le navigateur, sans aucune intervention de l'utilisateur. Pour les utilisateurs de Tor, les conséquences sont particulièrement graves : compromettre le moteur de rendu revient à contourner l'isolation garantie par le navigateur, ouvrant potentiellement la voie à la divulgation de la véritable identité de l'utilisateur. Nebula Security a publié une démonstration sur X montrant comment elle ouvre la caméra de l'appareil grâce à cette faille, avec le commentaire suivant : « Regardez-nous ouvrir la caméra et révéler l'identité anonyme derrière le navigateur Tor […] Mettez à jour votre Tor ! » Ce qui est frappant dans cette histoire, c'est que le problème ne vient pas de Tor lui-même, mais du moteur JavaScript sous-jacent : tout navigateur basé sur Firefox antérieur à la version 151.0.3 était potentiellement vulnérable. Or, les utilisateurs de Tor ont des exigences d'anonymat bien plus élevées que l'utilisateur moyen, et une faille comme celle-ci les anéantit complètement .

Le correctif est déjà disponible : si vous utilisez Tor Browser 15.0.19 ou une version ultérieure , vous êtes protégé. Si vous ne savez pas quelle version est installée, vérifiez-la dès maintenant.