CVE-2026-106197 в Debian: use-after-free в Chromium, уязвимые версии и защита

CVE: CVE-2026-106197
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,40%; процентиль 32,33%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106197 — критическая уязвимость типа use-after-free (CWE-416) в компоненте Browser браузера Google Chrome. По данным NVD, она позволяла удалённому атакующему выполнить произвольный код вне песочницы через специально созданную HTML-страницу. В Debian уязвимость отслеживается для исходного пакета chromium; по состоянию на данные Debian Security Tracker исправленная версия для всех поддерживаемых релизов ещё не назначена, а статус проблемы остаётся открытым.

Основные характеристики​

Суть риска: обработка специально сформированной HTML-страницы в браузере на движке Chromium может привести к использованию освобождённой памяти. По описанию уязвимости это даёт атакующему возможность удалённого выполнения кода за пределами песочницы браузера.

Ключевые параметры:

• Тип ошибки: CWE-416 (use after free — обращение к памяти после её освобождения).
  
• CVSS 3.1: 9.6, критическая; вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевая атака без привилегий, но требующая действия пользователя, с изменением области влияния и полным воздействием на конфиденциальность, целостность и доступность.
  
• Граница исправления: версии Google Chrome до 155.0.8059.39 уязвимы.
  
• Статус в Debian: проблема открыта для пакета chromium во всех отслеживаемых релизах, исправленная версия не назначена.
  
• EPSS: 0,402% (процентиль 32,33%) — текущая оценка вероятности эксплуатации в дикой природе низкая.
  
• CISA KEV: подтверждения внесения в каталог нет.
  

Какие продукты и версии затронуты​

Уязвимость описана для Google Chrome версий до 155.0.8059.39 (граница version_end_excluding: 155.0.8059.39). В Debian затронут исходный пакет chromium. По данным Debian Security Tracker, статус «open» зафиксирован для следующих релизов:

• bookworm: в репозитории bookworm — 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1;
  
• trixie: в репозитории trixie — 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1;
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Для всех перечисленных релизов fixed_version не указан, срочность помечена как «not yet assigned». Это означает, что на момент выгрузки данных исправление в репозиториях Debian ещё не опубликовано.

Причина уязвимости​

Причина — классическая ошибка управления памятью: use-after-free (CWE-416) в компоненте Browser. Объект в памяти освобождается, но код продолжает обращаться к нему через сохранившийся указатель.

В браузерном движке такие состояния часто возникают при сложной последовательности событий: например, когда скрипт или асинхронный обратный вызов уничтожает объект, на который другой компонент всё ещё ссылается.

Подробный путь данных до уязвимого кода и конкретная нарушенная проверка в доступных официальных источниках (описание CVE, записи Debian Security Tracker) не раскрыты: публикуется только общий класс ошибки и затронутый компонент. Технические детали, вероятно, ограничены до полного устранения проблемы во всех ветках.

Как работает атака​

По описанию из NVD, вектор доставки — специально созданная HTML-страница: атакующий должен побудить пользователя открыть её в уязвимом браузере. При обработке такой страницы в компоненте Browser возникает обращение к уже освобождённой памяти.

Если состояние памяти контролируется злоумышленником, ошибка может перерасти в выполнение произвольного кода. Существенно, что по описанию уязвимости код выполняется вне песочницы браузера — то есть преодолевается одна из ключевых границ доверия, которая обычно изолирует вредоносный или ошибочный код рендеринга от остальной системы.

Конкретные шаги эксплуатации, структура страницы-триггера и обходимые проверки в источниках не описаны. Подтверждённый факт — только класс ошибки, компонент, вектор доставки (HTML-страница) и результат (выполнение кода вне песочницы).

Условия успешной эксплуатации​

Из подтверждённых данных следуют такие условия:

• у пользователя запущен браузер с движком Chromium версии до 155.0.8059.39 (в Debian — уязвимая сборка пакета chromium);
  
• атакующий способен доставить пользователю специально созданную HTML-страницу и убедить её открыть (вектор CVSS UI:R — требуется взаимодействие пользователя);
  
• сетевой доступ со стороны атакующего к цели предполагается (вектор AV:N), привилегии и предварительный доступ не требуются (PR:N, AC:L).
  

Дополнительные условия на стороне системы (наличие конкретных функций, конфигурация) в источниках не раскрыты.

Возможный сценарий атаки​

Разумная реконструкция на основе подтверждённого описания, без технических деталей: атакующий готовит HTML-страницу, обработка которой в уязвимой версии Chromium вызывает use-after-free в компоненте Browser. Страница размещается на контролируемом ресурсе или доставляется через ссылку (почта, мессенджер, скомпрометированный сайт).

Пользователь открывает ссылку в уязвимом браузере. При рендеринге и обработке содержимого возникает обращение к освобождённой памяти; если атакующий сумел сформировать нужное состояние кучи, управление потоком выполнения переходит к внедрённому коду.

Поскольку выполнение происходит вне песочницы, компрометация может выйти за пределы изоляции браузерного процесса — с доступом на уровне прав пользователя в системе. Это защитный вывод о потенциальных последствиях, а не описание подтверждённой атаки: сведений о реальных инцидентах в источниках нет.

Есть ли публичный эксплойт​

В переданном пакете доказательств нет сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённом использовании в реальных атаках. Запись в CISA KEV отсутствует, EPSS низкий (0,402%).

Отсутствие таких сведений не означает, что эксплойт невозможен или не появится: ошибка критическая, детали могут быть опубликованы позже. Мониторинг обновлений и трекеров следует продолжать.

Признаки эксплуатации​

Специфичные IOC (хэши, домены, сигнатуры) для этой уязвимости в источниках не опубликованы. Доступны только общие, неспецифичные точки контроля:

• журналы прокси/DNS на предмет обращений к неизвестным или скомпрометированным веб-ресурсам, с которых пользователь мог открыть страницу;
  
• аномальное поведение процессов браузера: неожиданные дочерние процессы, сетевые соединения после открытия страниц, падения браузера с признаками повреждения памяти;
  
• системные журналы на предмет действий от имени пользователя, не соответствующих его обычной активности.
  

Эти признаки не являются доказательством эксплуатации именно CVE-2026-106197 и требуют сопоставления с версией браузера и контекстом.

Как обнаружить атаку​

Проверка уязвимости сводится прежде всего к инвентаризации версий. В Debian определите релиз и версию установленного пакета chromium (команды — в разделе проверки версии). Если версия ниже границы исправления 155.0.8059.39 в нумерации Chromium и исправление для вашего релиза ещё не вышло, система считается уязвимой.

Дополнительно имеет смысл:

• сверить статус пакета на странице Debian Security Tracker для CVE-2026-106197;
  
• проверить, включён ли репозиторий -security в sources.list, чтобы обновления безопасности устанавливались автоматически;
  
• при наличии EDR/средств мониторинга — отслеживать аномальное поведение процессов браузера (см. раздел IOC).
  

Как проверить свою версию​

Определите релиз Debian и версию установленного Chromium. В командах ниже замените <имя-пакета> на фактическое имя пакета, например chromium.

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Вывод dpkg-query покажет установленную версию; сравните её с версиями из репозиториев, перечисленными в разделе о затронутых продуктах, и со статусом исправления в Debian Security Tracker.

Исправление​

Полноценное исправление — обновление пакета chromium до версии, в которой устранена ошибка. По данным Debian Security Tracker, на момент выгрузки fixed_version для всех релизов не назначен, поэтому:

• следите за обновлениями безопасности Debian (репозиторий -security) и за страницей трекера;
  
• при появлении исправленной версии выполните штатное обновление пакета;
  
• до выхода исправления ограничьте использование уязвимого браузера (см. временные меры).
  

Рекомендуемый порядок действий при появлении обновления:

apt update
apt upgrade chromium

Номер исправленной версии в Debian будет опубликован в трекере; заранее называть его некорректно.

Временные меры защиты​

Пока исправление в Debian не опубликовано, снизить риск можно организационными и конфигурационными мерами:

• ограничить использование Chromium в Debian для посещения недоверенных сайтов; для рискованных ресурсов применять браузер с актуальной версией, получивший исправление;
  
• не открывать ссылки из недоверенных источников, особенно требующие активного содержимого;
  
• по возможности запускать браузер с минимальными правами и без доступа к критичным данным (ограничение последствий выхода за песочницу);
  
• контролировать выход обновлений безопасности и устанавливать их незамедлительно после публикации.
  

Эти меры уменьшают вероятность или последствия атаки, но не устраняют уязвимость.

Как проверить устранение уязвимости​

После публикации исправления проверьте, что установленная версия не ниже исправленной:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Сверьте версию с той, что указана в Debian Security Tracker для вашего релиза как исправленная. Дополнительно убедитесь, что репозиторий -security активен и обновление пришло именно из него.

Подтверждением устранения проблемы считается статус «resolved/fixed» для вашего релиза в трекере и соответствующая версия пакета в выводе dpkg-query.

Вывод​

CVE-2026-106197 — критический use-after-free в компоненте Browser Chromium, который по официальному описанию допускает удалённое выполнение кода вне песочницы через созданную HTML-страницу. Для Debian проблема открыта для пакета chromium во всех отслеживаемых релизах, и на момент подготовки материала исправленная версия не назначена.

Основные действия администратора: зафиксировать текущую версию пакета, следить за репозиторием -security и трекером Debian, ограничить использование уязвимого браузера до выхода обновления и установить его сразу после публикации.

Официальные источники​

1. NVD — CVE-2026-106197
   
2. Debian Security Tracker — CVE-2026-106197
   
3. FIRST EPSS — CVE-2026-106197
   

История обновлений статьи​

• 09.10.2026 — Опубликована первая версия материала.