CVE-2026-102309 в Debian: критическая RCE-уязвимость в Chromium, уязвимые версии и защита

CVE: CVE-2026-102309
Продукт: Debian
Дата публикации: 29.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,31%; процентиль 21,72%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Debian обнаружена критическая уязвимость use-after-free в компоненте FullScreen браузера Chromium (CVE-2026-102309). Она позволяет удалённому злоумышленнику выполнить произвольный код вне песочницы через специально сформированную HTML-страницу.

Уязвимы версии до 154.0.8037.92. В статье — затронутые релизы Debian, механизм атаки и порядок обновления.

Основные характеристики​

Уязвимость представляет собой ошибку использования после освобождения (use-after-free) в обработке полноэкранного режима. Она позволяет удалённо выполнить код с правами процесса браузера, обходя песочницу.

Ключевые параметры:

• Тип ошибки: CWE-416 (Use After Free).
  
• CVSS v3.1: 9.6 (критический), вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  
• Условия атаки: удалённо, без привилегий, но требуется взаимодействие пользователя (открытие вредоносной страницы).
  
• Влияние: полная компрометация конфиденциальности, целостности и доступности, выход за пределы песочницы.
  
• EPSS: 0,31% (процентиль 21,72%) — низкая вероятность эксплуатации в ближайшее время по данным FIRST.
  
• Статус эксплуатации: сведения о публичном эксплойте отсутствуют, но это не исключает его существования.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в следующих релизах Debian:

• bookworm (stable): уязвимая версия в основном репозитории — 150.0.7871.100-1~deb12u1, исправленная в security — 154.0.8037.92-1~deb12u1.
  
• trixie (testing): уязвимая версия — 150.0.7871.181-1~deb13u1, исправленная — 154.0.8037.92-1~deb13u1.
  
• forky (future stable): исправленная версия 154.0.8037.92-1 уже в основном репозитории.
  
• sid (unstable): исправленная версия 154.0.8037.92-1 уже в основном репозитории.
  

Все версии до 154.0.8037.92 уязвимы. Подробности — в Debian Security Tracker.

Причина уязвимости​

Ошибка use-after-free возникает в компоненте FullScreen браузера Chromium. При обработке полноэкранного режима объект, связанный с состоянием экрана, освобождается из памяти, но продолжает использоваться. Это приводит к обращению к уже освобождённой области памяти, что может вызвать повреждение данных и, при определённых условиях, выполнение произвольного кода.

Точные детали реализации не раскрыты в официальных источниках, но класс ошибки CWE-416 хорошо известен.

Как работает атака​

Атака осуществляется удалённо через специально сформированную HTML-страницу. Злоумышленник размещает вредоносный код на веб-странице, которая при открытии в уязвимом браузере инициирует переход в полноэкранный режим. В процессе обработки возникает use-after-free, что позволяет перехватить управление потоком выполнения.

В результате атакующий может выполнить произвольный код с правами процесса браузера, обходя песочницу. Поскольку уязвимость находится в браузерном движке, атака не требует наличия локальных привилегий.

Условия успешной эксплуатации​

Для успешной эксплуатации необходимо:

• Использование уязвимой версии Chromium (до 154.0.8037.92).
  
• Открытие пользователем вредоносной HTML-страницы (например, по ссылке из письма или на скомпрометированном сайте).
  
• Отсутствие дополнительных ограничений, таких как строгие политики безопасности, которые могут блокировать выполнение кода.
  

Взаимодействие пользователя обязательно, поэтому атака относится к категории с UI:R.

Возможный сценарий атаки​

Типичный сценарий атаки:

1. Злоумышленник создаёт вредоносную HTML-страницу, содержащую код для эксплуатации use-after-free в FullScreen.
   
2. Страница размещается на подконтрольном домене или внедряется на легитимный сайт.
   
3. Пользователь переходит по ссылке, браузер загружает страницу и обрабатывает её.
   
4. При переходе в полноэкранный режим (или в процессе его обработки) срабатывает уязвимость.
   
5. Код выполняется вне песочницы, что позволяет атакующему получить контроль над системой пользователя.
   

После выполнения кода злоумышленник может установить вредоносное ПО, похитить данные или использовать систему для дальнейших атак.

Есть ли публичный эксплойт​

На момент публикации статьи официальные источники не содержат сведений о публичном эксплойте или PoC для CVE-2026-102309.

Техническое описание уязвимости доступно в NVD, но это не является эксплойтом. Отсутствие публичного эксплойта не гарантирует, что он не существует в закрытых кругах. Рекомендуется применять исправления незамедлительно.

Признаки эксплуатации​

Специфичные индикаторы компрометации для данной уязвимости не опубликованы. Поскольку атака происходит через браузер, обнаружить её сложно. Можно обратить внимание на следующие неспецифичные признаки:

• Аномальная активность процесса chrome (высокая загрузка CPU, необычные сетевые соединения).
  
• Появление новых процессов, запущенных от имени пользователя.
  
• Изменения в системных файлах или конфигурации.
  

Эти признаки не являются однозначными и могут быть вызваны легитимной активностью.

Как обнаружить атаку​

Для обнаружения попыток эксплуатации можно использовать:

• Мониторинг журналов браузера и системных журналов (/var/log/syslog, journalctl).
  
• Отслеживание аномальных сетевых подключений процесса chrome.
  
• Использование систем обнаружения вторжений (IDS) для анализа трафика.
  

Однако из-за отсутствия специфичных сигнатур детектирование затруднено. Основной упор следует делать на своевременное обновление.

Как проверить свою версию​

Для проверки версии пакета chromium в Debian выполните:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Замените <имя-пакета> на chromium в командах apt-cache policy и dpkg-query. Сравните версию с исправленной для вашего релиза.

Исправление​

Обновите пакет chromium до исправленной версии. Для этого выполните:

sudo apt update
sudo apt upgrade chromium

Исправленные версии:

• bookworm: 154.0.8037.92-1~deb12u1 (из репозитория bookworm-security).
  
• trixie: 154.0.8037.92-1~deb13u1 (из trixie-security).
  
• forky и sid: 154.0.8037.92-1 (уже в основном репозитории).
  

Убедитесь, что в sources.list подключены репозитории безопасности. Подробности — в Debian Security Tracker.

Временные меры защиты​

Если обновление невозможно, временные меры:

• Ограничьте использование браузера Chromium, особенно для просмотра недоверенных сайтов.
  
• Используйте альтернативные браузеры, если это допустимо.
  
• Включите строгие политики безопасности, например, запрет на выполнение скриптов из непроверенных источников.
  

Эти меры не устраняют уязвимость, но снижают риск эксплуатации.

Как проверить устранение уязвимости​

После обновления проверьте версию пакета:

dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что версия соответствует исправленной для вашего релиза. Также можно проверить, что пакет взят из репозитория безопасности:

apt-cache policy chromium

Если версия ниже исправленной, повторите обновление или проверьте настройки репозиториев.

Вывод​

CVE-2026-102309 — критическая уязвимость в Chromium, затрагивающая Debian. Она позволяет удалённо выполнить код вне песочницы. Своевременное обновление пакета chromium до исправленной версии полностью устраняет риск. Рекомендуется следить за обновлениями безопасности и применять их незамедлительно.

Официальные источники​

1. NVD — CVE-2026-102309
   
2. Debian Security Tracker — CVE-2026-102309
   
3. FIRST EPSS — CVE-2026-102309
   

История обновлений статьи​

• 01.10.2026 — Опубликована первая версия материала.
  
• 02.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 04.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.