はじめに

2026年10月は、Torまわりの更新が立て続けに出ました。Tor本体の 0.4.9.14（重大度の高い問題の修正）、それを取り込んだ Tor Browser 15.0.25、そして漏えいした証明書をブロックする Tor Browser 15.0.26 と、Tailsの緊急リリース 7.15.1 です。

玉ねぎ形の盾と、ひびの入った証明書に赤い×印、更新を示す回転矢印が並ぶイラスト

どれも「入れておけば済む」更新ですが、何が直ったのかを知っておくと、更新を後回しにしないための判断材料になります。この記事では、10月の更新をまとめ、Tor Browser・Tails・リレー運営者がそれぞれ確認したいことを整理します。

内容は2026年10月26日に確認した Tor 0.4.9.14の告知（2026年10月8日UTC）と 変更履歴、Tor Projectブログの Tor Browser 15.0.25（10月12日）・15.0.26（10月21日）、Tailsの 7.15（10月13日）・7.15.1（10月23日）の告知、Mozillaのセキュリティブログ（10月20日）にもとづきます。各修正の技術的な影響を本記事で検証したものではありません。

10月の更新の一覧

日付 リリース 主な内容
10月7日 Tor 0.4.9.14 重大度の高い複数の問題を修正。クライアント・リレー・オニオンサービス・ディレクトリ機関のすべてが対象
10月12日 Tor Browser 15.0.25 Tor 0.4.9.14 を同梱。Firefoxのセキュリティ修正、NoScript・OpenSSLの更新
10月13日 Tails 7.15 Tor Browser 15.0.25 と Tor 0.4.9.14 を同梱。ファームウェア更新
10月21日 Tor Browser 15.0.26 漏えいした eMudhra の中間証明書をブロック
10月23日 Tails 7.15.1 緊急リリース。Tor Browser 15.0.26 を同梱し、システム全体でも eMudhra の証明書をブロック

（日付は各告知の表記にもとづきます。Tor 0.4.9.14 は変更履歴の日付で、告知の投稿は10月8日UTC）

Tor 0.4.9.14：重大度の高い問題をまとめて修正

Tor Projectは「先週に続いてまたセキュリティリリース」とし、できるだけ早い更新を強く勧めています。前回の0.4.9.13（9月23日）に続く、短い間隔での更新です。10月8日の告知では、詳しい内容のチケットは少なくとも1週間は非公開とする方針が示されており、その時点で公開されていた情報は変更履歴の記述にとどまっていました。本記事では各チケットの現在の公開状況までは確認していません。

変更履歴から、利用者に関係しそうなものを挙げます。

  • オニオンサービスの回線で、使うべきでない中継が使われ得た: 「中間（middle）専用」と指定されたリレーの印（MiddleOnlyフラグ）が、ディレクトリ機関以外で無視されていた。その結果、クライアントがこうしたリレーをオニオンサービスの回線で不適切な役割に使う可能性があった（TROVE-2026-067）
  • リレーの「ファミリー」証明書の期限切れを見落としていた: 同じ運営者のリレーをまとめるための証明書が期限切れでも、リレーの記述を有効として扱っていた（TROVE-2026-062）
  • トラフィック分析の手がかりを与え得る挙動: 最初のホップが確立する前に回線を取り消すと、正常なガード接続を新しい回線に使わなくなる不具合があった。これは遠隔から引き起こせ、同じガードへの余分なTLS接続を生んでトラフィック分析を助け得たとされています
  • リレーのクラッシュ: Conflux（複数の回線を束ねる機能）の制御セルを悪用して、リレーを強制終了させ得る問題
  • 回線構築のタイムアウトが固まる問題: 条件によってタイムアウト値が低いまま更新されなくなり、接続できなくなることがあった

いずれも、修正版に更新する以外に利用者側でできる回避策は示されていません。

eMudhraの証明書漏えいと、Tor Browser 15.0.26・Tails 7.15.1

もう一つの大きな出来事が、インドの認証局 eMudhra の中間証明書の秘密鍵が漏えいした件です。

Mozillaによると、2026年10月17日（UTC）に、eMudhraの 8つの中間証明書 に対応する秘密鍵が漏えいしたとの報告を受けました。この鍵があれば、攻撃者は自分が管理していないウェブサイトの偽のHTTPS証明書を発行でき、通信を傍受できる立場なら、サイトになりすまして通信を読み取ったり書き換えたりし得ます。Mozillaは同日中にFirefoxで該当証明書をブロックしました。

Tor Browserも 15.0.26 で、漏えいした中間証明書をブロックしました。Tailsの告知はさらに踏み込んで、15.0.26は eMudhraの証明書をすべてブロックする と説明しています。

Torの利用者にとって何が問題か

Tailsの告知は、Tor利用者にとってのリスクを次のように説明しています。

  • 漏えいした中間証明書を使えば、HTTPSで守られた接続でも、どんなウェブサイトにもなりすませた
  • この攻撃は、Torの出口ノード、その出口ノードのインターネット接続業者、または政府 が行い得た
  • オニオンサイト（.onion）は、この証明書偽造の影響を受けない
  • 10月23日の告知の時点で、出口ノードによるこの攻撃の悪用事例は把握していない

Torで通常のHTTPSサイトを見るとき、ブラウザーとサイト間の通信はTLS（HTTPSの暗号化）で暗号化され、Tor回線内ではTorの暗号化でも保護されます。出口で外れるのはTor側の暗号化です。そのため出口から先は、HTTPS（TLS）の暗号化だけが通信を守ります。そのHTTPSの信頼の土台である証明書が偽造できると、出口側の誰かが中間者になり得る、ということです。

Tor利用時の通信経路の図。利用者からガード、中間、出口の3つのリレーまではTorの暗号化で守られる。それと重なって、ブラウザーからウェブサイトまでの全区間がHTTPS（TLS）で暗号化される。出口で外れるのはTor側の暗号化で、出口から先はHTTPSだけが守る。漏えいしたeMudhraの中間証明書を使うと、出口ノード、その接続業者、または政府が偽の証明書でサイトになりすませた。オニオンサイトは出口ノードを通らないため、この証明書偽造の影響を受けない。対策はTor Browser 15.0.26以降、Tails 7.15.1以降に更新すること
図：偽造証明書が使われ得た位置（Tails 7.15.1の告知とMozillaの説明をもとに作成。図を選ぶと大きく表示できます）。

Tails 7.15.1は「緊急リリース」

Tailsは、Tor Browserだけでなく、システムの他のアプリも使う証明書ストア（Debianの ca-certificates パッケージ）を更新し、ほかのアプリでもeMudhraの証明書をすべてブロック しました。Tails上でTor Browser以外の通信アプリを使う人にも関係する更新です。

それぞれが確認したいこと

Tor Browserの利用者

  • バージョンが 15.0.26以降 かを確認します（メニューの「ヘルプ」→「Tor Browserについて」）。通常は自動で更新されますが、再起動するまで反映されないことがあります
  • 15.0.26の告知によると、更新後の初回起動時には、証明書の失効情報のデータベースを作るのに数分かかることがあります。動作が重くても、少し待ってみてください
  • 15.0.25・15.0.26の変更履歴は、どちらも「All Platforms（全プラットフォーム）」向けとして記載されています

Tailsの利用者

  • 7.15.1 に更新します。Tails 7.0以降からは自動アップグレードでき、永続ストレージ（Persistent Storage）も保たれます
  • 自動アップグレードができない、または更新後に起動しない場合は手動アップグレードを試します。USBメモリへ新規インストールし直すと、永続ストレージは消えます

リレー・オニオンサービスの運営者

  • Tor本体を 0.4.9.14 に更新します。今回の修正はリレー・クライアント・オニオンサービス・ディレクトリ機関のすべてに関係します。Debian向けのパッケージは告知の時点で用意されていました
  • Tor Projectは、次のリリースは10月最終週か11月第1週になりそうだとしています。短い間隔の更新が続いているため、告知を追っておくと安心です

まとめ

  • 2026年10月、Tor本体（0.4.9.14）・Tor Browser（15.0.25、15.0.26）・Tails（7.15、7.15.1）が相次いで更新された。どれもセキュリティ上の理由による更新
  • Tor 0.4.9.14は、オニオンサービスの回線で不適切な中継が使われ得た問題や、トラフィック分析を助け得た挙動などを修正
  • eMudhraの中間証明書の鍵が漏えいし、出口ノード側からHTTPSサイトになりすませる状態だった。オニオンサイトはこの証明書偽造の影響を受けない。Tailsは10月23日の告知で、出口ノードによるこの攻撃の悪用事例は把握していないとしている
  • Tor Browserは15.0.26以降、Tailsは7.15.1以降 にしておく

Torの基本的な仕組みは Torとは？ で、Tailsそのものは Tails OSの解説 で紹介しています。新しいリリースが出たら追記します。