CVE-2026-106281 в Debian: use-after-free в Chromium, уязвимые версии пакетов и порядок проверки системы

CVE: CVE-2026-106281
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,30%; процентиль 20,72%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106281 — уязвимость типа use-after-free (CWE-416) в компоненте Tint браузера Google Chrome/Chromium до версии 155.0.8059.39. Удалённый злоумышленник может через специально созданную HTML-страницу потенциально выполнить произвольный код вне песочницы.

Для Debian это означает, что пакет chromium в поддерживаемых релизах пока остаётся уязвимым: в Debian Security Tracker статус «open», исправленная версия пакета не назначена.

Статья объясняет механику угрозы, перечисляет затронутые релизы и даёт команды проверки установленных версий.

Основные характеристики​

Суть риска: злоумышленнику достаточно заставить пользователя открыть специально подготовленную веб-страницу в уязвимой версии браузера, чтобы потенциально получить выполнение кода за пределами песочницы рендеринга — один из наиболее серьёзных классов последствий для браузерных уязвимостей.

Ключевые параметры:

• Тип ошибки: CWE-416, use-after-free (обращение к освобождённой памяти) в компоненте Tint; уровень безопасности по классификации Chromium — High.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевая атака без привилегий, но требующая взаимодействия с пользователем, с изменением области влияния и высоким воздействием на конфиденциальность, целостность и доступность.
  
• Порог уязвимости: версии Google Chrome до 155.0.8059.39; исправление выпущено в апстриме Chrome.
  
• Состояние в Debian: пакет chromium уязвим во всех отслеживаемых релизах, исправленная версия пакета пока не опубликована.
  
• EPSS: 0,30% (процентиль 20,72%) — текущая расчётная вероятность эксплуатации в течение 30 дней невысока, но метрика динамическая и не гарантирует отсутствия атак.
  
• CISA KEV: сведений о внесении в каталог KEV в доступных данных нет.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает Google Chrome до версии 155.0.8059.39 по данным NVD (CPE-диапазон google:chrome с границей version_end_excluding: 155.0.8059.39). Поскольку Debian поставляет Chromium из того же апстрим-кода, уязвим и пакет chromium в дистрибутиве.

По данным Debian Security Tracker, статус «open» (уязвим, исправление не выпущено) зафиксирован для:

• bookworm: 150.0.7871.100-1~deb12u1 в основном репозитории, 154.0.8037.92-1~deb12u1 в bookworm-security;
  
• trixie: 150.0.7871.181-1~deb13u1 в основном репозитории, 154.0.8037.92-1~deb13u1 в trixie-security;
  
• sid: 154.0.8037.92-1;
  
• forky: 154.0.8037.92-1.
  

Во всех перечисленных релизах срочность исправления помечена как «not yet assigned», а исправленная версия пакета отсутствует. На момент подготовки материала обновление через штатные репозитории безопасности Debian ещё недоступно.

Причина уязвимости​

Причина уязвимости — ошибка управления памятью класса use-after-free в компоненте Tint браузерного движка Chromium. Tint отвечает за компиляцию шейдеров WGSL в рамках WebGPU-подсистемы: он разбирает и трансформирует шейдерный код, интенсивно работая с объектами в куче.

Use-after-free означает, что объект освобождается, но остаётся доступным для последующего обращения. Если порядок владения или время жизни объектов в компиляторе шейдеров выстроены некорректно, указатель на уже освобождённую память продолжает использоваться, и повторное обращение работает с памятью, которая могла быть переиспользована под другие данные.

Точные детали кодового пути, приводящего к преждевременному освобождению, в публичном описании CVE не раскрыты — доступна только общая формулировка «use after free in Tint». Ссылка на Chromium issue tracker (issue 554992296) присутствует в записи NVD, но детали исправления в переданных источниках не приведены.

Как работает атака​

Механика атаки, подтверждённая описанием CVE: удалённый злоумышленник готовит HTML-страницу, которая особым образом задействует уязвимый код Tint, и добивается того, чтобы жертва открыла её в уязвимой версии браузера. Сконструированное содержимое страницы приводит к освобождению объекта в компиляторе шейдеров с последующим обращением к этой памяти.

При удачной компоновке кучи повторное обращение попадает на переиспользованный участок, что даёт злоумышленнику возможность управлять данными, с которыми работает уязвимый код. Описание CVE прямо указывает на потенциальное выполнение произвольного кода вне песочницы — то есть за пределами изоляции процесса рендеринга, которая обычно сдерживает последствия компрометации веб-контента.

Важно разграничивать подтверждённое и выводимое. Подтверждено: тип ошибки, компонент, вектор доставки (crafted HTML page) и заявленное последствие. Конкретные шаги от обращения к освобождённой памяти до устойчивого выполнения кода в описании не раскрыты — это типично для публикаций Chromium, где технические подробности ограничиваются до массового применения обновлений.

Условия успешной эксплуатации​

Условия успешной эксплуатации, следующие из CVSS-вектора и описания CVE:

• Сетевой доступ (AV:N): атака выполняется удалённо, например через веб-сайт или внедрённый в легитимный ресурс контент.
  
• Отсутствие привилегий (PR:N): злоумышленнику не требуется учётная запись или доступ к системе жертвы.
  
• Взаимодействие с пользователем (UI:R): жертва должна открыть вредоносную страницу — например, перейти по ссылке.
  
• Уязвимая версия браузера: Chrome/Chromium до 155.0.8059.39, включая пакет chromium в затронутых релизах Debian.
  

Дополнительные технические предпосылки (например, требования к распылению кучи или конкретным настройкам WebGPU) в публичных источниках не описаны, поэтому их наличие или отсутствие подтвердить нельзя.

Возможный сценарий атаки​

Разумный сценарий на основе подтверждённых фактов выглядит так. Злоумышленник размещает подготовленную HTML-страницу на подконтрольном ресурсе или внедряет её в легитимный сайт (например, через рекламную сеть). Затем жертве доставляется ссылка — письмом, в мессенджере или через другой сайт.

Пользователь открывает страницу в уязвимом Chromium. Содержимое страницы активирует уязвимый путь в Tint, возникает use-after-free, и злоумышленник получает потенциальную возможность выполнить код в контексте браузера вне песочницы рендеринга.

Последствия выхода из песочницы выходят за рамки веб-угрозы: код выполняется с привилегиями процесса браузера в хост-системе, то есть на рабочей станции или сервере с установленным Chromium под Debian. Что именно происходит после такого выполнения (закрепление, кража данных, lateral movement), источники не описывают — это защитный вывод, а не задокументированный факт.

Есть ли публичный эксплойт​

О публично доступном PoC, техническом описании готового эксплойта или подтверждённых случаях эксплуатации в дикой природе в переданных источниках сведений нет. NVD не содержит ссылок на эксплойт-фреймворки, а запись отсутствует в каталоге CISA KEV (по доступным данным поле KEV пусто).

Отсутствие публичного эксплойта не означает его отсутствия: детали уязвимости известны из апстрим-объявления, а EPSS 0,30% отражает лишь текущую расчётную оценку вероятности эксплуатации. Статус следует периодически перепроверять, поскольку для критических браузерных уязвимостей рабочие эксплойты нередко появляются после публикации патча.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-106281 в переданных источниках не опубликованы: ни хешей, ни URL вредоносных страниц, ни характерных паттернов в журналах.

Поэтому можно рекомендовать только неспецифичные точки контроля, применимые к браузерным атакам вообще:

• журналы прокси и DNS на обращения к подозрительным или новым доменам;
  
• EDR/антивирусные события о подозрительных дочерних процессах браузера;
  
• аномальные сетевые соединения, инициированные процессом chromium;
  
• пользовательские отчёты о неожиданном поведении браузера при открытии страниц.
  

Отсутствие срабатываний по этим точкам не доказывает отсутствие компрометации.

Как обнаружить атаку​

Обнаружение уязвимого состояния выполняется на уровне инвентаризации версий: сверьте версию пакета chromium на хостах Debian с порогом 155.0.8059.39 апстрим-версии и с версиями, перечисленными в Debian Security Tracker.

Для поиска следов атаки специфичных сигнатур в источниках нет, поэтому опирайтесь на общие меры:

• централизованный сбор журналов с хостов и прокси;
  
• мониторинг запуска нетипичных дочерних процессов от chromium;
  
• контроль исходящих соединений браузера на неизвестные адреса.
  

Эти меры неспецифичны для данной CVE и служат фоном, а не точной детекцией именно этой уязвимости.

Как проверить свою версию​

Проверка версии дистрибутива и пакета на хосте Debian:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

apt-cache policy chromium покажет установленную версию и версии, доступные в настроенных репозиториях, включая security-архив. Сравните результат с таблицей затронутых версий выше: если установленная версия совпадает с одной из перечисленных (например, 154.0.8037.92-1~deb12u1 в bookworm-security), система остаётся уязвимой до выхода исправленного пакета.

Исправление​

Полное исправление — обновление браузера до версии 155.0.8059.39 или новее. В апстриме Google исправление выпущено в стабильном канале Chrome (обновление стабильного канала для настольных систем, октябрь 2026), и это основной способ устранить уязвимость.

Для Debian ситуация на момент подготовки материала иная: в Debian Security Tracker для пакета chromium во всех релизах (bookworm, trixie, sid, forky) статус «open», исправленная версия не назначена, срочность «not yet assigned». Исправленный пакет Debian ещё не опубликован, поэтому откладывать мониторинг нельзя:

• регулярно проверяйте страницу Debian Security Tracker по CVE-2026-106281;
  
• следите за обновлениями в security-репозитории вашего релиза;
  
• при появлении исправленного пакета установите его штатно: apt update && apt upgrade chromium.
  

Как временная альтернатива до выхода пакета, администратор может рассмотреть использование апстрим-сборки Chrome 155.0.8059.39 или новее — это защитный вывод, а не официальная рекомендация Debian из переданных источников.

Временные меры защиты​

Пока исправленный пакет chromium для Debian не выпущен, снизить поверхность атаки можно организационными и конфигурационными мерами. Подтверждённый вектор атаки — открытие специально созданной HTML-страницы, поэтому меры направлены на разрыв этого пути:

• ограничьте веб-сёрфинг с высокопривилегированных и серверных систем; на серверах Chromium, как правило, не нужен вовсе;
  
• фильтруйте веб-трафик на периметре и блокируйте доступ к известным вредоносным и нехарактерным для организации ресурсам;
  
• предупредите пользователей о риске перехода по ссылкам из непроверенных источников;
  
• рассмотрите временное использование альтернативного, не затронутого браузера для задач с недоверенным веб-контентом.
  

Эти меры уменьшают вероятность, но не устраняют уязвимость; единственным полным исправлением остаётся обновление.

Как проверить устранение уязвимости​

После публикации исправленного пакета Debian проверьте, что уязвимая версия заменена:

apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что установленная версия выше значений, перечисленных в разделе затронутых продуктов, и что в Debian Security Tracker для вашего релиза статус изменился с «open» на «fixed» с указанием исправленной версии. Дополнительно проверьте, что обновление пришло именно из security-репозитория, а не из основного архива с устаревшей версией.

Вывод​

CVE-2026-106281 — критическая use-after-free уязвимость в Tint с потенциальным выполнением кода вне песочницы через обычную HTML-страницу. Апстрим-исправление в Chrome 155.0.8059.39 уже выпущено, но пакет chromium в Debian во всех отслеживаемых релизах пока остаётся без исправления, и именно этот разрыв определяет приоритет действий.

Администраторам Debian стоит немедленно проверить версии пакета на всех хостах, ограничить использование уязвимого браузера для недоверенного контента и отслеживать появление исправленного пакета в security-репозитории. Низкое текущее значение EPSS не является основанием откладывать работы: метрики вероятности эксплуатации меняются, а критичность и вектор атаки делают уязвимость привлекательной целью.

Официальные источники​

1. NVD — CVE-2026-106281
   
2. Debian Security Tracker — CVE-2026-106281
   
3. FIRST EPSS — CVE-2026-106281
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.