CVE-2026-106239 в Debian: переполнение целого числа в WebGL Chromium и статус исправлений

CVE: CVE-2026-106239
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,38%; процентиль 29,30%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106239 — целочисленное переполнение (CWE-190) в WebGL браузера Google Chrome на Android до версии 155.0.8059.39.

По официальному описанию, удалённый атакующий при открытии специально подготовленной HTML-страницы потенциально мог выполнить произвольный код вне песочницы браузера. Уровень опасности по классификации Chromium — High.

По данным Debian Security Tracker, пакет chromium имеет статус open во всех поддерживаемых релизах Debian, исправленная версия не назначена. Ниже — суть риска, условия эксплуатации и порядок проверки состояния системы.

Основные характеристики​

Суть риска: обработка специально оформленного веб-контента в WebGL может привести к целочисленному переполнению, которое по описанию уязвимости потенциально позволяет выполнить код за пределами песочницы браузера. Ключевые параметры:

• Тип ошибки: CWE-190 (integer overflow) в компоненте WebGL.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевой вектор, низкая сложность, требуется взаимодействие пользователя, изменение scope, высокие последствия для конфиденциальности, целостности и доступности.
  
• Затронутая версия: Google Chrome на Android до 155.0.8059.39; Chromium security severity — High.
  
• Статус в Debian: пакет chromium — open во всех релизах, исправленная версия не назначена.
  
• EPSS: 0,38%, процентиль 29,30% — прогнозируемая вероятность эксплуатации в течение 30 дней оценивается как низкая.
  
• CISA KEV: подтверждений внесения в каталог нет.
  

Какие продукты и версии затронуты​

По данным NVD, уязвим Google Chrome на Android в версиях до 155.0.8059.39 (CPE-диапазон cpe:2.3:a:google:chrome:* с границей version_end_excluding 155.0.8059.39).

В Debian Security Tracker отслеживается исходный пакет chromium. Состояние по релизам:

• bookworm: репозиторий bookworm — 150.0.7871.100-1~deb12u1, bookworm-security — 154.0.8037.92-1~deb12u1; статус open.
  
• trixie: репозиторий trixie — 150.0.7871.181-1~deb13u1, trixie-security — 154.0.8037.92-1~deb13u1; статус open.
  
• forky: 154.0.8037.92-1; статус open.
  
• sid: 154.0.8037.92-1; статус open.
  

Исправленная версия (fixed_version) ни для одного релиза не назначена, срочность указана как «not yet assigned». Описание уязвимости говорит о Chrome на Android; применимость проблемы к десктопному Chromium в Debian в доступных источниках напрямую не разъяснена, поэтому факт уязвимости конкретной сборки Debian следует проверять по обновлениям трекера.

Причина уязвимости​

Причина — целочисленное переполнение (CWE-190) в реализации WebGL. Точные технические детали — какой кодовый путь, функция или структура данных переполняются — в переданных источниках не раскрыты: доступны только официальное описание CVE, запись Chromium issue tracker (issues.chromium.org/issues/546630009) и запись Debian Security Tracker. Утверждать что-либо сверх формулировки «integer overflow in WebGL» без подтверждения нельзя.

Как работает атака​

Согласно официальному описанию, атака строится на обработке специально подготовленной HTML-страницы: при её открытии в уязвимой версии браузера WebGL-код выполняет операцию, приводящую к целочисленному переполнению. Переполнение, по формулировке CVE, потенциально позволяет атакующему выполнить произвольный код вне песочницы браузера — то есть выйти за пределы изоляции рендер-процесса.

Вектор CVSS подтверждает условия: атака сетевая (AV:N), сложность низкая (AC:L), привилегии не требуются (PR:N), но необходимо взаимодействие пользователя (UI:R) — жертва должна открыть вредоносную страницу. Scope изменён (S:C), что отражает выход воздействия за границы уязвимого компонента.

Детали внутреннего механизма переполнения и способа обхода песочницы в источниках не опубликованы; описывать их сверх официальной формулировки оснований нет.

Условия успешной эксплуатации​

Исходя из подтверждённых данных, для успешной атаки необходимы:

• уязвимая версия браузера — Google Chrome на Android до 155.0.8059.39;
  
• специально подготовленная злоумышленником HTML-страница, задействующая уязвимый путь в WebGL;
  
• действие пользователя — открытие страницы (UI:R в CVSS-векторе);
  
• сетевая доступность вредоносного контента без предварительной аутентификации (PR:N).
  

Применимость этих условий к Chromium в Debian в источниках напрямую не подтверждена; оценку риска для Debian-систем следует проводить осторожно и сверяться со статусом пакета.

Возможный сценарий атаки​

Сценарий, следующий из подтверждённых фактов: злоумышленник размещает или рассылает ссылку на HTML-страницу, содержащую контент, который при рендеринге задействует уязвимый код WebGL. Пользователь уязвимого браузера открывает страницу — например, по ссылке в письме или сообщении. При обработке страницы возникает целочисленное переполнение, которое, как указано в описании CVE, потенциально даёт возможность выполнить код вне песочницы браузера.

Дальнейшие действия атакующего после успешной эксплуатации (закрепление, перемещение по сети, цели) в источниках не описаны. Для Debian-систем сценарий осложняется тем, что уязвимость описана для Chrome на Android; реалистичность аналогичной атаки против Chromium в Debian не подтверждена доступными данными.

Есть ли публичный эксплойт​

Сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённых атаках в дикой природе в переданных источниках нет. CISA KEV не содержит подтверждения (kev: null).

EPSS 0,38% (процентиль 29,30%) указывает на низкую прогнозируемую вероятность эксплуатации в ближайшие 30 дней.

Отсутствие данных об эксплойте не означает его отсутствия — для уязвимостей Chromium с severity High публичные детали нередко появляются позже; статус следует отслеживать.

Признаки эксплуатации​

Специфичные IOC (хэши, URL вредоносных страниц, сетевые сигнатуры) для CVE-2026-106239 в источниках не опубликованы. Доступны только общие, неспецифичные точки контроля:

• журналы прокси и DNS на обращения к подозрительным страницам с активным использованием WebGL;
  
• аварийные завершения или аномальное поведение процессов браузера при обработке веб-контента;
  
• следы выполнения кода вне ожидаемого контекста браузера (EDR-события, порождение процессов браузером).
  

Эти признаки характерны для широкого класса веб-атак и не являются доказательством именно этой уязвимости.

Как обнаружить атаку​

Проверка подверженности сводится к определению версии установленного браузера и статуса пакета в Debian. Специфичных правил обнаружения эксплуатации в источниках нет.

Рекомендуемые общие шаги:

• сверить версию пакета chromium с данными Debian Security Tracker;
  
• проверить, подключён ли репозиторий security и устанавливаются ли обновления;
  
• при наличии EDR или централизованных журналов отслеживать аномалии, связанные с процессами браузера, помня о неспецифичности таких признаков.
  

Как проверить свою версию​

Для проверки состояния системы в Debian применимы следующие команды:

bash
cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Команды apt-cache policy и dpkg-query покажут установленную и доступные в репозиториях версии пакета chromium. Сравните результат с версиями из раздела о затронутых продуктах и со статусом на странице Debian Security Tracker для CVE-2026-106239.

Исправление​

Исправленная версия для Debian не назначена: во всех релизах (bookworm, trixie, forky, sid) статус пакета chromium — open, fixed_version отсутствует, срочность «not yet assigned». Готового исправления в репозиториях Debian на момент данных трекера нет.

Рекомендуемые действия:

• отслеживать страницу Debian Security Tracker для CVE-2026-106239 до появления исправленного пакета;
  
• поддерживать актуальность системы через репозиторий security (apt update && apt upgrade);
  
• после выпуска исправления установить обновлённый пакет chromium и перезапустить браузер.
  

Ориентиром по исправленной версии служит 155.0.8059.39 — версия, в которой проблема устранена в Google Chrome; номер пакета для Debian определят сопровождающие.

Временные меры защиты​

Поскольку патч для Debian пока недоступен, разумные временные меры (защитный вывод, а не подтверждённые рекомендации из источников):

• ограничить использование Chromium для посещения недоверенных сайтов до выхода исправления;
  
• при наличии альтернатив использовать другой, не затронутый трекером браузер для рискованного веб-контента;
  
• отключить или ограничить WebGL в настройках браузера, если это поддерживается вашей конфигурацией (эффективность такой меры для данной уязвимости источниками не подтверждена);
  
• применять стандартные ограничения: фильтрацию веб-контента и минимизацию числа пользователей с доступом к недоверенным сайтам.
  

Учитывая, что уязвимость описана для Chrome на Android, фактический риск для десктопного Chromium в Debian требует дополнительной оценки.

Как проверить устранение уязвимости​

После появления исправления проверка выполняется так:

• убедиться, что статус пакета в Debian Security Tracker изменился с open на fixed и указана исправленная версия;
  
• выполнить apt update && apt upgrade и убедиться, что обновление установлено;
  
• проверить версию командой dpkg-query -W -f='${Package} ${Version}\n' chromium и сравнить её с исправленной версией из трекера;
  
• убедиться, что браузер перезапущен и использует новую версию.
  

До появления исправления в репозиториях верификация невозможна — остаётся мониторинг трекера.

Вывод​

CVE-2026-106239 — критичная по CVSS (9.6) уязвимость целочисленного переполнения в WebGL, описанная для Google Chrome на Android до 155.0.8059.39, с потенциальным выполнением кода вне песочницы.

Для Debian ситуация остаётся открытой: пакет chromium имеет статус open во всех релизах, исправление не выпущено. Низкий EPSS (0,38%) и отсутствие данных об эксплуатации снижают текущую срочность, но не отменяют мониторинга трекера.

Практическая задача сейчас — знать точную версию пакета в своей системе и своевременно установить обновление, когда оно появится.

Официальные источники​

1. NVD — CVE-2026-106239
   
2. Debian Security Tracker — CVE-2026-106239
   
3. FIRST EPSS — CVE-2026-106239
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.