CVE-2026-10702: un click basta per compromettere Tor Browser

Un bug nel compilatore JIT di Firefox si trasmette a Tor Browser: codice malevolo con un solo accesso a pagina web. Mozilla ha corretto in Firefox 151.0.3, ma

Una vulnerabilità nel motore JavaScript di Firefox permette l'esecuzione di codice arbitrario nella sandbox del renderer con la sola visita di una pagina web malevola. La falla, identificata come CVE-2026-10702, si propaga a Tor Browser — il browser dedicato all'anonimato — e ha già materializzato in exploit pubblico rilasciato da Nebula Security. La notizia è pubblicata il 29 luglio 2026.

L'impatto supera il consueto avviso di patch: i ricercatori hanno dimostrato una catena completa da browser a root del kernel su Android, trasformando un errore di ottimizzazione del compilatore in un veicolo pratico per la sorveglianza e l'attacco mirato.

Punti chiave

CVE-2026-10702 è una JIT miscompilation nel motore SpiderMonkey di Firefox: la visita di una pagina malevola attiva l'exploit senza interazione utente aggiuntiva.
Ogni release di Tor Browser che incorporava una versione vulnerabile di Firefox risulta affetta, anche se i ricercatori non hanno identificato le release specifiche.
Nebula Security ha pubblicato materiale exploit pubblico con offset per Firefox 151.0 su build ARM64 Android 17, dimostrando l'escalation a privilegi di root tramite la catena IonStack.
Mozilla ha corretto la vulnerabilità in Firefox 151.0.3; la versione ESR 140.12 non risulta affetta perché l'override difettoso è assente.

Il meccanismo: quando il compilatore JIT mente sul proprio contratto

Il bug risiede nell'operazione MObjectToIterator del compilatore JIT SpiderMonkey. Quando eseguita con il parametro skipRegistration=true, questa operazione veniva classificata erroneamente come read-only pur essendo capace di allocare un nuovo buffer dynamic-slots e liberare il precedente. Questa violazione del contratto di alias ha effetti a cascata: il Global Value Number (GVN), il modulo che elimina calcoli ridondanti, trattava un successivo caricamento del buffer come operazione superflua e riutilizzava un puntatore ormai invalido.

L'exploit pubblicato da Nebula Security sfrutta questa finestra di inconsistenza. Reclama l'allocazione appena liberata, costruisce un oggetto falso corrompendo la struttura Uint8Array, e ottiene arbitrary read/write all'interno della sandbox del renderer process. La correzione di Mozilla rimuove il custom read-only alias handling da ObjectToIterator e aggiusta l'operazione iteratore correlata.

Secondo il record NVD per CVE-2026-10702, le debolezze associate sono CWE-843 (Type Confusion) e CWE-733 (Compiler Optimization Removal). Il CPE indica Mozilla Firefox versioni fino alla 151.0.2 esclusa la 151.0.3 correttiva. Il record NVD riporta due vettori CVSS 3.1 concorrenti: uno con punteggio elevato (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H, contributo Red Hat SADP) e uno con punteggio basso (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L, contributo CISA-ADP).

Da Firefox a Tor Browser: l'anonimato ereditato e la sua fragilità

Tor Browser è costruito sopra Firefox Extended Support Release, con modifiche orientate alla privacy di rete. La base di codice condivisa ha però un effetto collaterale: le vulnerabilità del motore di rendering si propagano automaticamente. Eten Zou, CEO di Nebula Security, ha confermato che ogni release di Tor Browser che incorporava una versione vulnerabile di Firefox era affetta, sebbene i ricercatori non abbiano identificato le release esatte. Il 28 luglio 2026 non risultava exploitation in-the-wild contro utenti.

La gravità specifica del target Tor risiede nel profilo utente: giornalisti, attivisti, ricercatori di sicurezza e operatori in zone ad alto rischio. Per questi soggetti, la compromissione del browser non è un incidente di produttività ma una violazione del perimetro di sicurezza personale. La sandbox del renderer, progettata per contenere il danno, diventa insufficiente quando il bug risiede nel cuore del motore di esecuzione JIT — proprio dove il codice utente incontra il compilatore nativo.

"No settings or additional user interaction are required. Visiting a malicious webpage is enough to trigger it" — Eten Zou, CEO Nebula Security

IonStack: dalla sandbox al root di Android

Nebula Security ha trasformato CVE-2026-10702 nel primo stadio di IonStack, una catena browser-to-kernel. Il secondo stadio sfrutta CVE-2026-43499 (GhostLock), una vulnerabilità nel sottosistema futex del kernel Linux con CVSS 7.8 HIGH (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). La catena dimostrata arriva a privilegi di root su Android 17 ARM64.

I materiali pubblicati contengono offset specifici per Firefox 151.0 su build ARM64 Android 17 supportata da Google. Zou ha indicato che l'exploit risulta "more stable" su x86_64, ma la catena completa browser-to-kernel non è stata portata a termine per quell'architettura. La patch di Firefox 151.0.3 non corregge GhostLock: le due vulnerabilità rimangono tecnicamente distinte e richiedono mitigazioni separate.

La pubblicazione di exploit end-to-end con offset precostruiti riduce drasticamente la barriera all'ingresso per attori che intendano replicare l'attacco. Non è richiesta ricerca zero-day né ingegneria inversa del target: il percorso è documentato e il codice è disponibile.

Cosa fare adesso

Aggiornare Firefox alla versione 151.0.3 o successiva: Mozilla ha corretto CVE-2026-10702 in questa release e il CPE ufficiale conferma che le versioni precedenti fino alla 151.0.2 sono affette.
Verificare la versione base di Firefox incorporata in Tor Browser: fino a che la release Tor non incorpora Firefox 151.0.3 o successivo, il browser mantiene la superficie d'attacco esposta.
Valutare l'esposizione di Firefox ESR 140.12: secondo Nebula Security, l'override difettoso è assente in questa versione, che quindi non risulta vulnerabile al meccanismo JIT descritto.
Isolare i dispositivi Android 17 ARM64 con Firefox non aggiornato: la catena IonStack dimostrata da Nebula Security raggiunge il root del kernel su questa specifica combinazione.

Perché la sandbox non basta più

La lezione di CVE-2026-10702 è strutturale. Le garanzie di sicurezza basate su sandbox — il contenimento del renderer, l'isolamento dei processi, le restrizioni di privilegio — presuppongono che il codice eseguito all'interno della sandbox sia sottoposto a traduzione corretta. Quando il traduttore stesso, il compilatore JIT, viola i propri contratti interni, il confine tra "dentro" e "fuori" si dissolve nel momento dell'ottimizzazione.

Il lavoro di Nebula Security ha svelato questa fragilità con una precisione chirurgica: non un overflow di buffer, non un use-after-free classico, ma un errore di classificazione nel sistema di alias analysis che il compilatore utilizza per decidere cosa è sicuro eliminare. L'ottimizzazione, da accelerazione, diventa vulnerabilità.

Per gli utenti di Tor Browser, l'implicazione è specifica e severa. L'anonimato di rete — il routing onion, l'isolazione dei circuiti, la resistenza all'analisi del traffico — diventa irrilevante se il browser stesso esegue codice controllato dall'avversario. La rete Tor protegge il pacchetto, non il processo che lo genera. E quando il processo è compromesso al primo click, la protezione di rete resta teatrale.

La comunità di sicurezza attende ora l'identificazione delle release Tor Browser effettivamente affette e l'eventuale pubblicazione di un aggiornamento correttivo. Fino ad allora, la combinazione di exploit pubblico e target ad alto valore costituisce un profilo di rischio che le difese passive non coprono.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti