Tor дважды за три недели закрыл уязвимости высокой опасности: отчёты, найденные с помощью ИИ, идут потоком

Tor Project выпустил два релиза безопасности за пятнадцать дней и говорит, что следующие пойдут в том же темпе. Версия 0.4.9.12 вышла 8 сентября 2026 года, чтобы «закрыть серию проблем безопасности высокой степени опасности». Версия 0.4.9.13 последовала 23 сентября — «снова закрыть серию проблем безопасности высокой степени опасности». О втором наборе в объявлении сказано: «Эти проблемы затрагивают всех — клиентов, онион-сервисы и узлы».

Почему так много сразу

Разработчики о причине говорят прямо. 3 сентября Дэвид Гуле из Tor написал в рассылку tor-dev, что релизы будут выходить «каждые две-три недели в обозримые ближайшие месяцы» из-за проблем безопасности, приходящих из «новой реальности… где языковые модели сидят в эхо-камере, зациклившись на нашем коде на C». Неделю спустя Александер Фэрёй добавил: «Пока мы получаем нынешнее количество ошибок безопасности, найденных с помощью языковых моделей, мы, скорее всего, будем держать этот новый темп».

Проще говоря, люди натравливают языковые модели на исходный код Tor, и те находят настоящие проблемы быстрее, чем прежний ритм релизов успевал их переваривать.

Что известно об ошибках

Очень мало, и это намеренно. В объявлениях нет идентификаторов уязвимостей, а связанные задачи открывают примерно через неделю после каждого релиза. До тех пор пользователей просят поверить в серьёзность на слово и обновиться.

Куда исправления уже доехали

• Tor Browser 15.0.22 (9 сентября) включает 0.4.9.12; 15.0.24 (29 сентября) — 0.4.9.13.
• Bisq 2 v2.1.13 (15 сентября) описан как «важное обновление безопасности, включающее свежий релиз безопасности Tor».
• Bisq 1 v1.10.9 (1 октября) переходит на Tor 0.4.9.13 и, как два предыдущих релиза Bisq, предупреждает: «Чтобы продолжать торговать, обновление до этой версии обязательно».
• Операторам узлов на старых версиях управляющие серверы каталога сообщают, что их версия устарела.

Что делать

Обновите Tor Browser. Затем проверьте каждое приложение, которое несёт собственную копию Tor: кошельки, пиринговые биржи, мессенджеры. Они не обновляются вместе с браузером. Приложение, в которое встроена версия Tor на C и которое в последний раз обновлялось в августе, работает на коде с известными уязвимостями высокой опасности. При релизах раз в несколько недель приложение, обновляемое дважды в год, большую часть времени проводит в отстающих.

Карточка Bisq в каталоге — здесь.

Источники: Tor Project forum — security release 0.4.9.13, Tor Project forum — security release 0.4.9.12, Tor Project forum — tor-dev: upcoming C-tor security release, Bisq 1 — release v1.10.9