CVE-2026-106382 в Debian: критический use-after-free в Chromium и что делать, пока исправление не выпущено

CVE: CVE-2026-106382
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,35%; процентиль 26,58%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106382 — уязвимость типа use after free (CWE-416) в компоненте Chromecast браузера Google Chrome до версии 155.0.8059.39. По данным NVD, удалённый злоумышленник мог выполнить произвольный код вне песочницы через специально подготовленную HTML-страницу; производитель оценил проблему как Critical.

В Debian уязвимому коду соответствует исходный пакет chromium: по состоянию на данные Debian Security Tracker исправление для всех отслеживаемых релизов ещё не выпущено (статус open). Статья объясняет механику риска, перечисляет затронутые версии и даёт практические шаги проверки и временного снижения риска.

Основные характеристики​

Суть риска: обработка специально оформленной HTML-страницы может привести к обращению к уже освобождённой памяти в компоненте Chromecast браузерного движка, что, по описанию производителя, позволяет выполнить код вне песочницы браузера.

• Тип ошибки: CWE-416 (use after free) — класс ошибок работы с памятью, часто приводящий к выполнению контролируемого кода.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевая атака без привилегий, но требующая взаимодействия пользователя, с изменённой областью действия и максимальным влиянием на конфиденциальность, целостность и доступность.
  
• Граница уязвимости: Google Chrome ранее версии 155.0.8059.39; в Debian — пакет chromium с версиями, указанными в трекере.
  
• Эксплуатация: подтверждений активных атак и публичного эксплойта в доступных источниках нет; запись в каталоге CISA KEV отсутствует.
  
• EPSS: 0,35% (процентиль 26,59%) — расчётная вероятность эксплуатации в ближайшие 30 дней низкая, но метрика не гарантирует отсутствия риска.
  

Какие продукты и версии затронуты​

Затронуты:

• Google Chrome — все версии ранее 155.0.8059.39 (граница version_end_excluding: 155.0.8059.39 в NVD).
  
• Debian, исходный пакет chromium — по Debian Security Tracker уязвимость не закрыта ни в одном отслеживаемом релизе:
  
• bookworm: 150.0.7871.100-1~deb12u1 (основной репозиторий), 154.0.8037.92-1~deb12u1 (bookworm-security);
  
• trixie: 150.0.7871.181-1~deb13u1, 154.0.8037.92-1~deb13u1 (trixie-security);
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Для всех перечисленных релизов fixed_version не назначен, срочность помечена как «not yet assigned». Версии из security-репозиториев (154.0.8037.92) формально ниже исправленной границы 155.0.8059.39 и остаются в зоне риска до выхода обновления.

Причина уязвимости​

Причина — use after free (CWE-416) в компоненте Chromecast браузера. Официальное описание ограничивается этим фактом: объект в памяти освобождается, но код продолжает с ним работать, и последующее обращение к «мёртвому» указателю даёт злоумышленнику шанс управлять выполнением.

Детальный путь данных внутри Chromium (какой именно кодовой путь приводит к освобождению объекта Chromecast при разборе HTML) в доступных источниках не раскрыт. Публично подтверждено только то, что триггером служит специально подготовленная HTML-страница, а результатом — выполнение кода вне песочницы. Восстанавливать недостающие детали без подтверждения было бы некорректно.

Как работает атака​

Механика, подтверждённая описанием CVE, выглядит так. Злоумышленник готовит HTML-страницу, которая при обработке браузером вызывает состояние use after free в компоненте Chromecast. Из-за повторного использования освобождённой памяти атакующий получает возможность выполнить произвольный код вне песочницы браузера.

Выход за пределы песочницы — ключевой момент: песочница Chromium намеренно ограничивает ущерб от компрометации процесса рендеринга. Обход этого барьера означает, что код потенциально выполняется с правами самого браузерного процесса в хост-системе, что существенно расширяет возможные последствия.

Вектор CVSS уточняет картину: атака сетевая (AV:N), сложность низкая (AC:L), привилегии не требуются (PR:N), но требуется взаимодействие пользователя (UI:R) — жертва должна открыть вредоносную страницу. Область действия — изменённая (S:C), влияние по трём осям — высокое (C:H/I:H/A:H).

Конкретная последовательность манипуляций с памятью в источниках не опубликована; приведённое описание — уровень технической сводки производителя, а не разбор эксплойта.

Условия успешной эксплуатации​

Подтверждённые и выводимые из вектора условия:

• уязвимая версия браузера/Chromium — ранее 155.0.8059.39 (в Debian — пакет chromium без исправления);
  
• жертва должна открыть подготовленную HTML-страницу (UI:R) — например, по ссылке из письма, мессенджера или на скомпрометированном сайте;
  
• сетевая доступность цели (AV:N), привилегии и предварительный доступ не нужны (PR:N, AC:L).
  

Дополнительные условия (конкретные настройки браузера, версии ОС, состояние подсистемы Chromecast) в источниках не раскрыты.

Возможный сценарий атаки​

Разумный сценарий, следующий из подтверждённых данных: злоумышленник размещает или рассылает ссылку на страницу с триггером use after free. Пользователь Debian с уязвимым chromium открывает её в обычном сеансе просмотра.

При обработке страницы возникает повторное обращение к освобождённой памяти в компоненте Chromecast, и атакующий получает выполнение кода вне песочницы браузера. С учётом вектора S:C и высокого влияния по C/I/A это может означать компрометацию данных пользовательского сеанса и самой системы — однако конкретные постэксплуатационные действия в источниках не описаны, и любые детали сверх выполнения кода являются предположением.

Для сценария не нужны права администратора или предварительный доступ к машине: достаточно уязвимой версии браузера и одного перехода по ссылке.

Есть ли публичный эксплойт​

В доступных источниках нет сведений о публичном PoC, техническом разборе с готовым триггером или подтверждённых атаках с использованием CVE-2026-106382. Запись в каталоге CISA KEV отсутствует, EPSS низкий (0,35%).

Это не доказывает отсутствие эксплойта: уязвимость закрыта производителем как Critical с выполнением кода вне песочницы, а детали Chromium-эксплойтов нередко появляются с задержкой. Отсутствие публичных данных означает лишь, что эксплуатация не подтверждена на момент подготовки материала.

Признаки эксплуатации​

Специфичные IOC (хэши, домены, сигнатуры триггерных страниц) для этой уязвимости в источниках не опубликованы. Доступны только неспецифичные точки контроля, применимые к любым браузерным атакам:

• журналы браузера и прокси: обращения к новым или подозрительным доменам, разово открытые страницы с последующей нестабильностью процесса;
  
• краши процессов рендеринга/браузера в системном журнале (journalctl, dmesg) без видимой причины — неспецифичный, но полезный признак;
  
• события EDR/антивируса о запуске дочерних процессов браузером, нетипичных для обычного просмотра;
  
• исходящие соединения процесса chromium на неизвестные адреса.
  

Ни один из этих признаков сам по себе не подтверждает эксплуатацию именно CVE-2026-106382.

Как обнаружить атаку​

Проверка уязвимости сводится к контролю версий, поскольку специфичных сигнатур нет. На Debian:

• определите версию ОС: cat /etc/debian_version и cat /etc/os-release;
  
• проверьте установленную версию пакета: apt-cache policy chromium;
  
• альтернативный вывод: dpkg-query -W -f='${Package} ${Version}\n' chromium.
  

Сопоставьте версию с границей 155.0.8059.39 и с данными Debian Security Tracker: если установленная версия ниже исправленной и в трекере для вашего релиза нет fixed_version, система считается уязвимой. Дополнительно отслеживайте страницу трекера и обновления безопасности.

Как проверить свою версию​

Команды проверки:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Интерпретация: версии 154.0.8037.92-1~deb12u1 (bookworm-security), 154.0.8037.92-1~deb13u1 (trixie-security), 154.0.8037.92-1 (forky, sid) и более ранние — ниже границы 155.0.8059.39, то есть соответствуют уязвимому диапазону. Поскольку в трекере для всех релизов статус open и исправная версия не назначена, результат «у вас уже исправлено» на момент подготовки материала недостижим — обновление нужно ждать и контролировать.

Исправление​

Полноценное исправление — обновление браузера/Chromium до версии не ниже 155.0.8059.39 (или соответствующего исправленного пакета Debian, когда он выйдет). По Debian Security Tracker на текущий момент:

• для bookworm, trixie, forky и sid статус open, fixed_version не назначен;
  
• срочность не определена («not yet assigned»);
  
• номер исправленного пакета Debian в источниках не указан.
  

Практические шаги администратора:

• регулярно выполнять apt update && apt upgrade и следить за security-репозиторием вашего релиза;
  
• контролировать запись трекера Debian Security Tracker до появления исправленного пакета;
  
• после выхода обновления немедленно установить его и перезапустить браузер на всех рабочих местах.
  

Откладывать обновление не стоит: уязвимость класса Critical с выполнением кода вне песочницы через обычную веб-страницу закрывает самый массовый вектор доставки — просмотр сайтов, а окно между публикацией CVE и выходом исправления в дистрибутиве — период максимального риска.

Временные меры защиты​

Пока исправленный пакет не выпущен, снизить риск можно организационными и техническими мерами (это защитные выводы, а не подтверждённые производителем обходные пути):

• ограничить использование chromium на уязвимых машинах: по возможности применять альтернативный, не затронутый браузер для непроверенных сайтов;
  
• блокировать на прокси/DNS доступ к недоверенным и новым доменам, ограничить свободный веб-серфинг с серверов и рабочих станций повышенного риска;
  
• предупреждать пользователей о переходе по ссылкам из писем и мессенджеров — вектор требует взаимодействия (UI:R);
  
• запускать браузер с минимальными привилегиями в отдельной среде (контейнер/ВМ без доступа к критичным данным) для обработки недоверенного контента;
  
• усилить мониторинг крашей и аномальных дочерних процессов браузера.
  

Эффективность этих мер против конкретного эксплойта не подтверждена; они лишь сужают поверхность атаки до выхода исправления.

Как проверить устранение уязвимости​

После выхода исправленного пакета Debian проверьте результат:

• apt-cache policy chromium — версия должна быть не ниже исправленной, указанной в трекере для вашего релиза;
  
• dpkg-query -W -f='${Package} ${Version}\n' chromium — сверьте точную строку версии с записью трекера;
  
• убедитесь, что запись для вашего релиза в Debian Security Tracker сменила статус с open на fixed и в ней появился fixed_version;
  
• перезапустите все запущенные экземпляры браузера, чтобы старый уязвимый процесс не остался в памяти.
  

До появления исправления проверка покажет уязвимую версию — это ожидаемый результат, а не ошибка процедуры.

Вывод​

CVE-2026-106382 — критическая уязвимость use after free в компоненте Chromecast, позволяющая через HTML-страницу выполнить код вне песочницы браузера. Для Debian это означает, что пакет chromium во всех отслеживаемых релизах (bookworm, trixie, forky, sid) пока уязвим: исправление в дистрибутив не выпущено, хотя upstream-граница — версия 155.0.8059.39.

Практический вывод: контролируйте версии пакетов, следите за трекером и security-обновлениями, а до выхода исправления ограничивайте работу с недоверенным веб-контентом. Низкий EPSS и отсутствие публичного эксплойта не отменяют критичность оценки производителя — обновление, когда оно появится, применять нужно без задержки.

Официальные источники​

1. NVD — CVE-2026-106382
   
2. Debian Security Tracker — CVE-2026-106382
   
3. FIRST EPSS — CVE-2026-106382
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.