CVE-2026-106358 в Debian: use-after-free в Chromium, уязвимые версии и порядок проверки системы

CVE: CVE-2026-106358
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,44%; процентиль 36,04%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106358 — критическая уязвимость типа use-after-free (CWE-416) в компоненте Navigation браузера. По описанию из NVD, удалённый злоумышленник может выполнить произвольный код вне песочницы через специально созданную HTML-страницу.

В Debian уязвим пакет chromium. По данным Debian Security Tracker, исправленная версия ещё не назначена ни для одного поддерживаемого релиза, статус проблемы — open.

Ниже разобрана механика риска, перечислены затронутые релизы Debian и приведены команды для проверки установленной версии пакета.

Основные характеристики​

Суть риска: браузер на базе Chromium, открытый на недоверенной веб-странице, может стать точкой входа для выполнения кода за пределами песочницы рендеринга. Для Debian это означает, что уязвим именно пакет chromium, а не системные библиотеки.

Ключевые параметры:

• Тип ошибки: CWE-416 (use after free) в компоненте Navigation Google Chrome/Chromium.
  
• CVSS 3.1: 9.6, категория CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевой вектор, низкая сложность, привилегии не требуются, но нужно действие пользователя и выход воздействия за пределы компонента.
  
• Условие эксплуатации: достаточно открыть специально созданную HTML-страницу (UI:R).
  
• Статус в Debian: исправленная версия не назначена (fixed_version: null), статус open для bookworm, trixie, forky и sid.
  
• EPSS: 0,44% (0.00438), процентиль 36,04% — прогнозируемая вероятность эксплуатации в ближайшие 30 дней пока низкая.
  
• CISA KEV: подтверждения включения в каталог в переданных данных отсутствуют.
  

Запись NVD находится в статусе «Undergoing Analysis», поэтому отдельные детали могут уточняться.

Какие продукты и версии затронуты​

Уязвимость заявлена для Google Chrome до версии 155.0.8059.39 включительно (все более ранние сборки) и затрагивает Chromium как кодовую базу. В Debian уязвимым пакетом является chromium.

По данным Debian Security Tracker:

• bookworm (Debian 12): 150.0.7871.100-1~deb12u1 (bookworm) и 154.0.8037.92-1~deb12u1 (bookworm-security) — обе ниже исправленной 155.0.8059.39.
  
• trixie (Debian 13): 150.0.7871.181-1~deb13u1 (trixie) и 154.0.8037.92-1~deb13u1 (trixie-security) — также ниже порога.
  
• forky и sid: 154.0.8037.92-1 — ниже исправленной версии.
  

Для всех перечисленных релизов статус в трекере — open, срочность (urgency) — «not yet assigned», исправленная версия пакета не назначена. На момент сбора данных обновление, закрывающее CVE-2026-106358, в репозиториях Debian отсутствовало.

Причина уязвимости​

Причина — ошибка управления памятью класса use-after-free (CWE-416) в компоненте навигации (Navigation) браузера. Объект, связанный с обработкой навигации, освобождается, но код продолжает обращаться к уже освобождённой памяти.

В браузерных движках такие ошибки типично возникают при гонках событий навигации, когда жизненный цикл объекта не синхронизирован с асинхронными переходами между страницами.

Конкретный внутренний механизм — какой именно объект освобождается и при какой последовательности событий — в переданных источниках не раскрыт: описание CVE ограничивается указанием компонента Navigation и класса ошибки, а запись NVD находится в статусе анализа. Детальный разбор следует ожидать из первоисточника — записи Chromium issue 567160164 и объявления Google Chrome Releases.

Как работает атака​

Подтверждённая из описания CVE механика такова: злоумышленник готовит HTML-страницу, которая при открытии в уязвимой версии браузера приводит к обращению к освобождённой памяти в коде навигации. Успешная эксплуатация позволяет выполнить произвольный код вне песочницы (outside the sandbox) — за пределами изолированного процесса рендеринга, который обычно сдерживает последствия компрометации веб-контента.

Вектор CVSS подтверждает картину: сетевая атака (AV:N) с низкой сложностью (AC:L), без привилегий (PR:N), но требующая действия пользователя (UI:R) — жертва должна открыть страницу. Scope Changed (S:C) отражает выход воздействия за пределы уязвимого компонента, что соответствует обходу границы песочницы. Полное влияние — высокое по конфиденциальности, целостности и доступности (C:H/I:H/A:H).

Технические детали построения самой страницы-триггера в источниках не публикуются, и воспроизводить их здесь неуместно. Для защитника важно другое: границей доверия является сам факт открытия недоверенной страницы в уязвимом браузере.

Условия успешной эксплуатации​

Исходя из описания CVE и вектора CVSS, для успешной атаки необходимы:

• уязвимая версия браузера на базе Chromium ниже 155.0.8059.39, установленная и используемая жертвой;
  
• возможность доставить жертве специально созданную HTML-страницу — например, через ссылку на подконтрольный злоумышленнику ресурс;
  
• действие пользователя: открытие страницы (UI:R), без которого эксплуатация не запускается;
  
• отсутствие сетевых ограничений, блокирующих доступ к ресурсу атакующего.
  

Аутентификация или привилегии в системе не требуются. Дополнительные условия (конкретное оборудование, настройки, расширения) в источниках не указаны.

Возможный сценарий атаки​

Разумный сценарий, следующий из подтверждённых фактов, выглядит так. Злоумышленник размещает или компрометирует страницу, содержащую код, нарушающий жизненный цикл объектов навигации в Chromium. Жертва — пользователь Debian-системы с уязвимым пакетом chromium — переходит по ссылке (в письме, мессенджере, на другом сайте).

При открытии страницы срабатывает use-after-free в компоненте Navigation. Если эксплойт надёжен, злоумышленник получает выполнение кода вне песочницы рендеринга — то есть с потенциальным доступом к правам процесса браузера в системе, а не только к содержимому вкладки.

Дальнейшие действия атакующего (закрепление, lateral movement, кража данных) в источниках не описаны и являются общим следствием выполнения кода в системе, а не спецификой этой уязвимости. Отделять подтверждённое от вывода важно: сам факт «страница → код вне песочницы» заявлен в CVE, всё после этого — типовая модель угрозы.

Есть ли публичный эксплойт​

В переданных источниках нет сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённых атаках в дикой природе. EPSS 0,44% и отсутствие записи в CISA KEV (по доступным данным) согласуются с низкой наблюдаемой активностью, но не доказывают её отсутствие.

Учитывая критический рейтинг Chromium (severity: Critical) и класс ошибки, следует исходить из того, что технические детали могут появиться после публикации исправления и анализа исследователями. Отсутствие сведений не означает отсутствие эксплойта.

Признаки эксплуатации​

Специфичные IOC для этой уязвимости в источниках отсутствуют: ни хешей эксплойтов, ни URL доставки, ни характерных артефактов не опубликовано. Специфичный признак успешной эксплуатации — выполнение дочерних или посторонних процессов от имени процесса браузера — является неспецифичным и характерен для многих классов атак.

Общие, заведомо неспецифичные точки контроля:

• журналы аудита процессов на предмет неожиданных дочерних процессов у chromium;
  
• сетевые соединения браузера к неизвестным доменам сразу после открытия страниц;
  
• EDR-события внедрения или обхода песочницы, если такая телеметрия доступна.
  

Эти признаки не подтверждают эксплуатацию именно CVE-2026-106358 и служат только фоном для общей проверки.

Как обнаружить атаку​

Прямых сигнатур обнаружения в источниках нет. Разумный подход для администратора Debian:

• инвентаризация: определить, установлен ли пакет chromium и какая версия используется (команды в разделе проверки версии);
  
• сопоставление версии с порогом 155.0.8059.39: всё, что ниже, формально уязвимо;
  
• мониторинг обновлений: отслеживать запись Debian Security Tracker для CVE-2026-106358 и анонсы debian-security-announce на предмет выхода исправленного пакета;
  
• при наличии центрального управления пакетами — массовая проверка версий chromium на хостах.
  

Постфактум-обнаружение эксплуатации опирается только на общие точки контроля, перечисленные в разделе IOC; специфичных признаков нет.

Как проверить свою версию​

Проверить версию ОС и установленного пакета можно командами:

bash
cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

В командах apt-cache policy и dpkg-query вместо chromium подставляется имя проверяемого пакета; здесь оно уже указано как уязвимый пакет chromium. Сравните выведенную версию с исправленной 155.0.8059.39: версии вида 154.0.8037.92-1~deb12u1 или 150.0.7871.100-1~deb12u1 ниже порога и соответствуют уязвимым сборкам из трекера Debian.

Исправление​

Полноценное исправление — обновление пакета chromium до версии 155.0.8059.39 или новее. Однако по данным Debian Security Tracker на момент сбора, исправленная версия для Debian ещё не назначена: статус open, fixed_version: null для bookworm, trixie, forky и sid, срочность «not yet assigned».

Практические шаги:

• регулярно выполнять apt update и проверять доступность обновлений chromium в security-репозитории своего релиза;
  
• следить за записью в Debian Security Tracker и анонсами Debian security team — при выпуске исправления установить его стандартным путём (apt upgrade chromium);
  
• не откатываться на более старые версии и не отключать автоматические security-обновления.
  

Пока исправление не вышло, опирайтесь на временные меры из следующего раздела.

Временные меры защиты​

Поскольку исправленный пакет в Debian пока отсутствует, снизить риск можно организационными и конфигурационными мерами:

• ограничить использование chromium в недоверенных веб-сессиях; для обязательных задач рассмотреть альтернативный браузер, получающий своевременные обновления;
  
• блокировать доступ к известным недоверенным и фишинговым ресурсам на периметре — атака требует открытия страницы злоумышленника;
  
• запускать браузер от непривилегированного пользователя без доступа к критичным данным, чтобы ограничить последствия выполнения кода;
  
• информировать пользователей о риске перехода по ссылкам из недоверенных источников (вектор UI:R делает человеческий фактор обязательным условием).
  

Эти меры не устраняют уязвимость и являются лишь снижением вероятности и ущерба до выхода обновления.

Как проверить устранение уязвимости​

После выхода исправления проверка сводится к контролю версии:

bash
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что установленная версия не ниже 155.0.8059.39 и что пакет получен из security-репозитория соответствующего релиза. Дополнительно проверьте отсутствие отложенных обновлений (apt list --upgradable) и статус записи в Debian Security Tracker — она должна смениться с open на fixed для вашего релиза.

Вывод​

CVE-2026-106358 — критический use-after-free в навигации Chromium, позволяющий удалённый запуск кода вне песочницы через созданную HTML-страницу. Для Debian ситуация осложняется тем, что исправленный пакет ещё не выпущен ни для одного релиза, а уязвимый chromium присутствует в bookworm, trixie, forky и sid.

Низкий EPSS (0,44%) не отменяет критического CVSS 9.6: условие эксплуатации — лишь открытие страницы пользователем.

Рекомендуется контролировать версии пакета, следить за трекером Debian и до выхода обновления ограничивать использование браузера в недоверенных сессиях.

Официальные источники​

1. NVD — CVE-2026-106358
   
2. Debian Security Tracker — CVE-2026-106358
   
3. FIRST EPSS — CVE-2026-106358
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.