CVE-2026-106298 в Debian: use-after-free в Chromium, уязвимые версии и состояние исправления

CVE: CVE-2026-106298
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,30%; процентиль 20,72%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Chromium, входящем в состав Debian, зарегистрирована уязвимость CVE-2026-106298 — использование после освобождения памяти (CWE-416) в компоненте Chrome Tabs.

По данным NVD, в Google Chrome на macOS до версии 155.0.8059.39 она позволяла удалённому злоумышленнику потенциально выполнить произвольный код вне песочницы через специально созданную HTML-страницу.

В Debian Security Tracker проблема для пакета chromium во всех отслеживаемых релизах имеет статус open: исправленная версия пакета пока не назначена.

Основные характеристики​

Суть риска: ошибка работы с памятью типа use-after-free в механизме вкладок браузера. Если её удастся использовать, посещение вредоносной веб-страницы может привести к выполнению кода за пределами песочницы браузера.

Ключевые параметры:

• Тип ошибки: CWE-416 (use after free) в компоненте Chrome Tabs.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевая атака без привилегий, требуется взаимодействие с пользователем, влияние на конфиденциальность, целостность и доступность.
  
• Граница уязвимости: Google Chrome до 155.0.8059.39; описание NVD указывает на сборки для macOS.
  
• EPSS: 0,30% (процентиль 20,72%) — расчётная вероятность эксплуатации в ближайшие 30 дней невысокая, но метрика не гарантирует отсутствия атак.
  
• CISA KEV: в пакете доказательств записи о внесении в каталог KEV нет.
  

Какие продукты и версии затронуты​

Затронутые компоненты по официальным данным:

• Google Chrome — все версии до 155.0.8059.39; описание NVD указывает на сборки для macOS.
  
• Debian, пакет chromium — уязвимость открыта (status: open) в релизах bookworm, trixie, forky и sid; исправленная версия пакета не назначена.
  

Текущие версии пакета chromium в репозиториях Debian:

• bookworm: 150.0.7871.100-1~deb12u1, bookworm-security: 154.0.8037.92-1~deb12u1
  
• trixie: 150.0.7871.181-1~deb13u1, trixie-security: 154.0.8037.92-1~deb13u1
  
• forky: 154.0.8037.92-1
  
• sid: 154.0.8037.92-1
  

Все перечисленные версии ниже 155.0.8059.39. Срочность исправления (urgency) в трекере обозначена как «not yet assigned». Подробности о затронутых платформах за пределами этих данных не раскрыты.

Причина уязвимости​

Причина — ошибка управления памятью: use-after-free (CWE-416). Объект, связанный с механизмом вкладок Chrome (Chrome Tabs), освобождается, после чего код продолжает обращаться к уже недействительной памяти.

Источники не раскрывают конкретный путь данных внутри браузера: не описано, какие именно операции с вкладками приводят к преждевременному освобождению объекта и какая функция затем обращается к нему.

Известно, что триггером служит специально созданная HTML-страница, а результатом — потенциальное выполнение кода вне песочницы. Точная механика нарушения проверки времени жизни объекта не подтверждена доступными официальными материалами.

Как работает атака​

По описанию уязвимости атака строится на обработке вредоносной HTML-страницы. Страница определённым образом манипулирует вкладками браузера так, что внутренний объект освобождается, но остаётся доступным для последующего обращения — возникает состояние use-after-free.

Обращение к освобождённой памяти даёт злоумышленнику потенциальную возможность выполнить произвольный код вне песочницы браузера. Песочница Chrome ограничивает ущерб от компрометации процесса рендеринга, а выход за её границы означает переход от изолированного контекста к коду с более широкими правами в системе.

Детали реализации — как именно сконструированная страница достигает освобождения объекта — в официальных источниках не опубликованы. Оценка CVSS (AV:N, UI:R, S:C) подтверждает сетевой вектор и требование взаимодействия с пользователем.

Условия успешной эксплуатации​

Для успешной атаки, судя по описанию и вектору CVSS, необходимы:

• уязвимая версия браузера (до 155.0.8059.39);
  
• посещение пользователем специально созданной HTML-страницы или иное взаимодействие с ней (UI:R в векторе);
  
• сетевая доступность вредоносного контента — атака не требует локального доступа или привилегий (AV:N, PR:N).
  

Дополнительные условия — например, требования к конкретной платформе или конфигурации — источниками не раскрыты. Описание NVD упоминает сборки для macOS; применимость к другим платформам в явном виде не подтверждена.

Возможный сценарий атаки​

Сценарий, следующий из подтверждённых фактов, выглядит так. Злоумышленник готовит HTML-страницу, которая при обработке браузером вызывает состояние use-after-free в механизме вкладок. Страница размещается на подконтрольном ресурсе или доставляется через внедрение контента на легитимный сайт.

Жертва открывает страницу — например, по ссылке из письма или мессенджера. Специально сконструированный код страницы приводит к обращению к освобождённой памяти, что потенциально позволяет выполнить произвольный код вне песочницы браузера.

Последствия выхода за песочницу — доступ к данным пользователя и выполнение действий в системе с правами браузерного процесса. Конкретные постэксплуатационные шаги источниками не описаны; их восстановление было бы домыслом.

Есть ли публичный эксплойт​

Подтверждений публичного эксплойта в пакете доказательств нет: отсутствуют сведения о доступном PoC, техническом описании воспроизведения или задокументированных атаках в дикой природе. Запись в каталоге CISA KEV отсутствует, а EPSS составляет 0,30%.

Это не означает отсутствия эксплойта: низкие метрики отражают текущую известность данных, а не гарантию безопасности. Ссылка на issue Chromium (issues.chromium.org/issues/555932520) помечена тегом «Permissions Required», что типично для ограниченного доступа к отчёту об уязвимости до завершения цикла исправлений.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-106298 в доступных источниках не опубликованы: нет хешей, сигнатур или характерных сетевых паттернов.

Неспецифичные точки контроля, применимые к браузерным атакам такого класса:

• журналы прокси и DNS на обращения к подозрительным или новым доменам;
  
• аномальные дочерние процессы браузера и попытки выхода за ожидаемое поведение;
  
• EDR-события, связанные с процессами Chromium (неожиданные вызовы, инъекции, доступ к файлам).
  

Эти признаки не являются доказательством именно данной уязвимости и требуют сопоставления с контекстом.

Как обнаружить атаку​

Обнаружение строится на двух уровнях: инвентаризация версий и поведенческий контроль.

Первый шаг — определить, какие хосты используют уязвимые сборки. В Debian проверьте версию пакета chromium (команды приведены в разделе проверки версии) и сопоставьте её с границей 155.0.8059.39.

Второй шаг — мониторинг поведения: события EDR вокруг процессов браузера, журналы веб-шлюзов и DNS. Поскольку специфичных IOC нет, выявление опирается на общие признаки вредоносной активности, а не на точные сигнатуры.

Отдельно отслеживайте обновления Debian Security Tracker — появление исправленной версии изменит картину.

Как проверить свою версию​

Проверка версии ОС и пакета на системе Debian (замените <имя-пакета> на chromium):

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Команда apt-cache policy chromium дополнительно покажет, из какого репозитория установлен пакет и доступна ли более новая версия.

Сравните выведенную версию с границей уязвимости: версии ниже 155.0.8059.39 соответствуют уязвимому диапазону Chrome. Для Debian учитывайте, что исправленная версия пакета в трекере пока не назначена.

Исправление​

Полноценное исправление — обновление браузера до версии, в которой устранена уязвимость. Для Google Chrome это 155.0.8059.39 и выше (исправление выпущено в октябрьском обновлении стабильного канала).

Для Debian ситуация иная: в Debian Security Tracker пакет chromium по CVE-2026-106298 имеет статус open во всех релизах (bookworm, trixie, forky, sid), исправленная версия не назначена, срочность — «not yet assigned». Готового исправленного пакета Debian на момент данных нет, но уязвимость имеет критический рейтинг 9.6 и потенциально ведёт к выполнению кода вне песочницы.

Рекомендуемые действия:

• отслеживать запись в трекере Debian и анонсы debian-security-announce;
  
• при появлении исправленного пакета немедленно выполнить apt update && apt upgrade chromium;
  
• до этого момента применять временные меры из соответствующего раздела.
  

Временные меры защиты​

Пока исправленный пакет Debian не выпущен, снизить риск можно организационными и конфигурационными мерами:

• ограничить использование Chromium для посещения недоверенных сайтов; для рискованных ресурсов применять изолированные среды (отдельный профиль, контейнер, ВМ);
  
• блокировать на веб-шлюзе доступ к известным вредоносным и новым доменам;
  
• ограничить сетевой доступ браузерных процессов политиками, если это возможно в вашей среде;
  
• информировать пользователей о риске открытия ссылок из недоверенных источников, поскольку атака требует взаимодействия с вредоносной страницей.
  

Эти меры уменьшают вероятность атаки, но не устраняют уязвимость.

Как проверить устранение уязвимости​

После появления исправленного пакета Debian проверка сводится к контролю версии:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Убедитесь, что установленная версия не ниже той, которая будет указана в Debian Security Tracker как исправленная (сейчас поле fixed_version пусто — конкретный номер не подтверждён).

Дополнительно проверьте, что обновление пришло из репозитория безопасности (bookworm-security, trixie-security) и что в журнале apt нет отложенных или неудачных обновлений пакета.

Вывод​

CVE-2026-106298 — критическая (CVSS 9.6) ошибка use-after-free в Chrome Tabs, потенциально позволяющая выполнить код вне песочницы через вредоносную HTML-страницу. В Debian пакет chromium остаётся уязвимым во всех поддерживаемых релизах: исправленная версия не назначена, статус в трекере — open.

Вектор атаки сетевой и не требует привилегий; единственным барьером остаётся пользователь, открывающий вредоносную страницу. Пока исправление Debian не вышло, применяйте временные меры и следите за записью в Debian Security Tracker; после выпуска пакета обновляйтесь и проверяйте версию установленного Chromium.

Официальные источники​

1. NVD — CVE-2026-106298
   
2. Debian Security Tracker — CVE-2026-106298
   
3. FIRST EPSS — CVE-2026-106298
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.