CVE-2026-102306 в Debian: критический use-after-free в Chromium, уязвимые версии и защита

CVE: CVE-2026-102306
Продукт: Debian
Дата публикации: 29.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,37%; процентиль 28,80%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Debian обнаружена критическая уязвимость в пакете chromium, связанная с use-after-free в компоненте Bluetooth. Удалённый атакующий может выполнить произвольный код вне песочницы через специально созданную HTML-страницу.

Для Debian bookworm, trixie и sid доступны исправленные версии, для forky исправление пока не выпущено. Рекомендуется обновить пакет chromium до исправленной версии, чтобы предотвратить возможную эксплуатацию.

Основные характеристики​

Уязвимость представляет собой ошибку использования после освобождения (use-after-free) в компоненте Bluetooth браузера Chromium. Она позволяет удалённому атакующему выполнить произвольный код вне песочницы, если пользователь откроет специально созданную HTML-страницу.

Ключевые характеристики:

• Тип ошибки: CWE-416 (Use After Free).
  
• CVSS v3.1: 9.6 (критический), вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  
• Условия атаки: требуется взаимодействие пользователя (открытие страницы), атакующий действует удалённо.
  
• EPSS: 0,37% (процентиль 28,80%) — вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но это не снижает критичность.
  
• Статус эксплуатации: сведения о публичных эксплойтах отсутствуют.
  

Подробное описание доступно на NVD и Debian Security Tracker.

Какие продукты и версии затронуты​

Уязвимость затрагивает браузер Google Chrome и основанный на нём пакет chromium в Debian. Согласно Debian Security Tracker, уязвимы версии Chrome до 154.0.8037.92. В Debian затронуты следующие выпуски:

• bookworm: уязвимая версия 150.0.7871.100-1~deb12u1, исправленная версия 154.0.8037.92-1~deb12u1 (доступна в репозитории bookworm-security).
  
• trixie: уязвимая версия 150.0.7871.181-1~deb13u1, исправленная версия 154.0.8037.92-1~deb13u1 (доступна в trixie-security).
  
• sid: исправленная версия 154.0.8037.92-1 (до обновления считалась уязвимой).
  
• forky: статус open, текущая версия 154.0.8037.57-1, исправление пока не выпущено.
  

Официальная информация по уязвимости доступна на Debian Security Tracker.

Причина уязвимости​

Причина уязвимости — ошибка управления памятью в компоненте Bluetooth браузера Chromium. При обработке определённых операций, связанных с Bluetooth, объект может быть освобождён, но продолжать использоваться. Это приводит к обращению к уже освобождённой памяти, что может быть использовано для выполнения произвольного кода.

Точные детали реализации не раскрыты в доступных источниках, однако ошибка классифицируется как CWE-416 (Use After Free).

Как работает атака​

Атакующий создаёт специально сформированную HTML-страницу, которая при открытии в уязвимом браузере инициирует обращение к функциональности Bluetooth. В результате возникает ошибка использования после освобождения (use-after-free), позволяющая выполнить произвольный код в контексте процесса браузера. Поскольку уязвимость позволяет выполнить код вне песочницы, атакующий может получить доступ к системным ресурсам.

Механизм эксплуатации требует, чтобы пользователь открыл вредоносную страницу, то есть необходимо взаимодействие с пользователем. Точные детали реализации не раскрыты в доступных источниках, однако общий принцип связан с некорректным управлением памятью при обработке Bluetooth-операций. Уязвимость классифицируется как CWE-416 (Use After Free).

Условия успешной эксплуатации​

Для успешной эксплуатации необходимо выполнение следующих условий:

• Пользователь должен открыть вредоносную HTML-страницу в уязвимом браузере (требуется взаимодействие пользователя, UI:R).
  
• Атакующий должен иметь возможность доставить страницу пользователю (например, через фишинг, вредоносную рекламу или компрометацию легитимного сайта).
  
• Точные требования к окружению, включая необходимость Bluetooth-модуля, не раскрыты в доступных источниках.
  

Уязвимость эксплуатируется удалённо, без необходимости предварительной аутентификации, что отражено в векторе CVSS.

Возможный сценарий атаки​

Типичный сценарий атаки выглядит следующим образом:

1. Атакующий размещает вредоносную HTML-страницу на контролируемом им сайте или внедряет её в легитимный ресурс.
   
2. Пользователь переходит по ссылке и открывает страницу в уязвимой версии Chromium.
   
3. Страница инициирует обращение к Bluetooth-функционалу, вызывая use-after-free.
   
4. Атакующий использует ошибку для выполнения произвольного кода вне песочницы, получая контроль над системой.
   

Точные шаги эксплуатации не раскрыты, и приведённый сценарий основан на общем описании уязвимости. Для успешной атаки необходимо, чтобы пользователь открыл вредоносную страницу, что соответствует вектору CVSS с требованием взаимодействия (UI:R).

Есть ли публичный эксплойт​

На момент публикации информации о CVE-2026-102306 отсутствуют сведения о публично доступных эксплойтах или подтверждённых случаях эксплуатации. Однако отсутствие публичных данных не гарантирует отсутствие эксплойтов, так как они могут быть доступны ограниченному кругу лиц. Рекомендуется следить за обновлениями и применять исправления незамедлительно.

Признаки эксплуатации​

Специфичные индикаторы компрометации для данной уязвимости не опубликованы. В качестве общих точек контроля можно рекомендовать:

• Мониторинг аномальной активности процесса chrome (например, необычные сетевые соединения, высокая загрузка CPU).
  
• Проверка целостности файлов браузера.
  
• Анализ журналов безопасности на предмет подозрительных событий, связанных с браузером.
  

Эти индикаторы не являются специфичными для CVE-2026-102306 и могут указывать на другие угрозы.

Как обнаружить атаку​

Для обнаружения попыток эксплуатации можно использовать следующие подходы:

• Регулярная проверка версии браузера и сравнение с исправленной.
  
• Использование систем обнаружения вторжений (IDS/IPS) для мониторинга сетевого трафика, связанного с браузером.
  
• Анализ журналов браузера и системных журналов на предмет ошибок, связанных с памятью или Bluetooth.
  

Специфических сигнатур для данной уязвимости не опубликовано. Рекомендуется также обращать внимание на аномальную активность процесса chrome, например, необычные сетевые соединения или высокую загрузку CPU, хотя эти признаки не являются специфичными для CVE-2026-102306.

Как проверить свою версию​

Для проверки версии пакета chromium в Debian выполните следующие команды:

• cat /etc/debian_version — покажет версию дистрибутива.
  
• cat /etc/os-release — информация о выпуске.
  
• apt-cache policy chromium — покажет доступные и установленные версии пакета.
  
• dpkg-query -W -f='${Package} ${Version}\n' chromium — покажет установленную версию.
  

Замените chromium на фактическое имя пакета, если оно отличается (например, chromium-browser).

Исправление​

Для устранения уязвимости необходимо обновить пакет chromium до исправленной версии. В зависимости от выпуска Debian:

• bookworm: обновите до версии 154.0.8037.92-1~deb12u1 из репозитория bookworm-security.
  
• trixie: обновите до версии 154.0.8037.92-1~deb13u1 из trixie-security.
  
• sid: обновите до версии 154.0.8037.92-1.
  
• forky: исправление пока не выпущено, следите за обновлениями.
  

Обновление выполняется стандартными средствами: sudo apt update && sudo apt upgrade chromium. После обновления рекомендуется перезапустить браузер.

Временные меры защиты​

Пока исправление не установлено, можно применить следующие временные меры:

• Не открывать подозрительные ссылки и вложения, особенно от неизвестных отправителей.
  
• Использовать браузер с включённой песочницей (по умолчанию в Chromium она активна).
  
• Ограничить использование браузера для просмотра ненадёжного контента.
  

Эти меры не устраняют уязвимость, но снижают риск эксплуатации.

Как проверить устранение уязвимости​

После обновления проверьте, что установлена исправленная версия. Для этого выполните:

• dpkg-query -W -f='${Package} ${Version}\n' chromium — убедитесь, что версия не ниже указанной выше.
  
• Для bookworm: 154.0.8037.92-1~deb12u1, для trixie: 154.0.8037.92-1~deb13u1, для sid: 154.0.8037.92-1.
  

Также можно проверить наличие обновлений командой apt list --upgradable.

Вывод​

CVE-2026-102306 — критическая уязвимость в Chromium, затрагивающая Debian. Исправления доступны для большинства выпусков, за исключением forky. Рекомендуется немедленно обновить пакет chromium, чтобы предотвратить возможную эксплуатацию.

Следите за обновлениями для forky и применяйте их, как только они станут доступны. Регулярное обновление браузера и соблюдение базовых мер безопасности снижают риск компрометации системы.

Официальные источники​

1. NVD — CVE-2026-102306
   
2. Debian Security Tracker — CVE-2026-102306
   
3. FIRST EPSS — CVE-2026-102306
   

История обновлений статьи​

• 01.10.2026 — Опубликована первая версия материала.
  
• 02.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.