CVE-2026-106414 в Debian: некорректная проверка входных данных в Chrome на iOS и открытый статус пакета chromium

CVE: CVE-2026-106414
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: нет данных; процентиль нет данных
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106414 — некорректная проверка входных данных (CWE-20) в мобильном Chrome на iOS до версии 155.0.8059.39. Удалённый злоумышленник с помощью социальной инженерии мог потенциально выполнить произвольный код за пределами песочницы через специально созданную HTML-страницу. В Debian уязвимость отслеживается для пакета chromium; исправленная версия в репозиториях дистрибутива пока не назначена.

Основные характеристики​

Суть риска: специально оформленная HTML-страница, открытая после манипуляции со стороны пользователя, потенциально позволяет атакующему выполнить код вне песочницы браузера. Ключевые параметры:

• Тип ошибки: CWE-20 — некорректная проверка входных данных.
  
• Затронутый продукт: Google Chrome для iOS до версии 155.0.8059.39; в Debian отслеживается пакет chromium.
  
• Оценка CVSS: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — оценка стороннего источника в NVD.
  
• Оценка Chromium: security severity Medium; расхождение с CVSS 9.6 стоит учитывать при приоритизации.
  
• EPSS: данных нет; CISA KEV: подтверждения в каталоге нет.
  
• Статус в Debian: уязвимость открыта (status open) для bookworm, trixie, forky и sid, исправленная версия не назначена.
  

Какие продукты и версии затронуты​

По описанию уязвимости затронут Google Chrome на iOS; версии до 155.0.8059.39 уязвимы, исправление выпущено в самой версии 155.0.8059.39.

В Debian Security Tracker уязвимость зарегистрирована для исходного пакета chromium со scope local. Состояние по релизам:

• bookworm: в репозитории bookworm — 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1; статус open, исправление не назначено.
  
• trixie: в репозитории trixie — 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1; статус open, исправление не назначено.
  
• forky: 154.0.8037.92-1; статус open, исправление не назначено.
  
• sid: 154.0.8037.92-1; статус open, исправление не назначено.
  

Сведения о других продуктах и платформах в доступных источниках не приведены.

Причина уязвимости​

Причина — некорректная проверка входных данных (improper input validation, CWE-20) в компоненте Mobile браузера Google Chrome на платформе iOS. Точное место в коде, конкретный параметр и характер нарушенной проверки в официальных источниках не раскрыты: описание CVE фиксирует только класс ошибки и результат.

Ошибка позволяла удалённому атакующему при определённых условиях выйти за границы песочницы браузера. Детальный путь данных до уязвимого компонента источниками не подтверждён, поэтому здесь он не восстанавливается.

Как работает атака​

Согласно официальному описанию, атака строится на двух элементах. Первый — специально созданная HTML-страница, которая активирует некорректно проверяемые входные данные в мобильной версии браузера. Второй — социальная инженерия: жертву нужно убедить открыть эту страницу, поскольку без действия пользователя вектор не срабатывает (в CVSS-векторе это отражено меткой UI:R).

Результат при успешной эксплуатации — потенциальное выполнение произвольного кода за пределами песочницы (outside the sandbox). Это ключевой момент: даже если рендеринг содержимого изолирован, ошибка даёт шанс на выход из изоляции, что повышает последствия до уровня всей системы. Формулировка «potentially» указывает, что успешное выполнение кода не гарантировано в каждом случае.

Механика выхода из песочницы на уровне кода, а также применимость описания к десктопному Chromium в Debian источниками напрямую не разъяснены — эти детали остаются неподтверждёнными.

Условия успешной эксплуатации​

Из описания CVE и CVSS-вектора следуют такие условия:

• Сетевая доступность: атака выполняется удалённо (AV:N), без привилегий и без предварительной аутентификации (PR:N).
  
• Действие жертвы: требуется, чтобы пользователь открыл подготовленную HTML-страницу (UI:R), например перешёл по ссылке после убеждения атакующим.
  
• Уязвимая версия: браузер до 155.0.8059.39 на iOS; в Debian вопрос применимости к пакету chromium остаётся открытым, так как трекер помечает уязвимость открытой для всех релизов.
  
• Низкая сложность эксплуатации: AC:L, однако фактическая надёжность выхода из песочницы описанием не подтверждается.
  

Дополнительные условия (конкретные настройки, версии ОС и т. п.) в источниках не раскрыты.

Возможный сценарий атаки​

Правдоподобная последовательность, основанная только на подтверждённых элементах описания: атакующий готовит HTML-страницу, триггерящую некорректно проверяемые входные данные, и доставляет её жертве — например, через сообщение или ссылку, используя социальную инженерию. Жертва открывает страницу в уязвимой версии браузера.

При успешном срабатывании уязвимости код атакующего потенциально выполняется за пределами песочницы браузера, что по вектору CVSS (S:C, C:H/I:H/A:H) может привести к компрометации данных и системы в целом.

Насколько этот сценарий переносится на десктопный Chromium из репозиториев Debian, доступные источники не уточняют; трекер при этом классифицирует уязвимость как актуальную для пакета.

Есть ли публичный эксплойт​

Подтверждений публичного PoC, технического разбора с деталями эксплуатации или использования в реальных атаках в переданных источниках нет. EPSS-оценка отсутствует, в каталоге CISA KEV уязвимость не значится.

Отсутствие таких сведений не означает, что эксплойт невозможен или не появится: запись CVE находится в статусе Awaiting Analysis, и картина может измениться. Периодически перепроверяйте Debian Security Tracker и NVD.

Признаки эксплуатации​

Специфичные IOC (хэши, URL, сигнатуры) для этой уязвимости в доступных источниках не опубликованы. Пока их нет, можно опираться только на неспецифичные точки контроля:

• журналы веб-шлюза или прокси на предмет обращений к подозрительным страницам, доставленным через фишинговые сообщения;
  
• телеметрия браузера и EDR на аномальные дочерние процессы или попытки выхода за ожидаемые границы изоляции;
  
• жалобы пользователей на неожиданные ссылки и страницы.
  

Все перечисленные признаки неспецифичны и не доказывают эксплуатацию именно CVE-2026-106414.

Как обнаружить атаку​

Прямых сигнатур обнаружения в источниках нет. Практический порядок проверки среды:

• определить версию установленного пакета chromium (команды приведены ниже) и сравнить с версиями из Debian Security Tracker;
  
• проверить статус уязвимости на странице трекера Debian — на момент данных она открыта для bookworm, trixie, forky и sid;
  
• отслеживать объявления безопасности Debian (DSA) по пакету chromium;
  
• при наличии централизованного управления пакетами провести инвентаризацию версий Chromium по всем хостам.
  

Сетевые и поведенческие признаки ограничьтесь общими, неспецифичными точками контроля, описанными в разделе об IOC.

Как проверить свою версию​

Для проверки состояния системы в Debian используйте:

bash
cat /etc/debian_version
cat /etc/os-release

Эти команды покажут релиз дистрибутива. Версию пакета chromium можно проверить так:

bash
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Сравните вывод с версиями, указанными в Debian Security Tracker для вашего релиза.

Исправление​

Полное исправление — обновление браузера до версии 155.0.8059.39 или новее. Для Debian ситуация на момент данных такова: в трекере для пакета chromium во всех релизах (bookworm, trixie, forky, sid) статус open, поле fixed_version пустое, срочность «not yet assigned». Исправленный пакет в репозиториях Debian ещё не опубликован.

Практические шаги:

• следите за Debian Security Tracker и объявлениями debian-security-announce по пакету chromium;
  
• когда выйдет исправленный пакет, установите его стандартным образом: apt update && apt upgrade или целевое обновление пакета chromium;
  
• после установки перепроверьте версию пакета и убедитесь, что она не ниже исправленной.
  

Номера исправленных версий Debian на основе данных апстрима предсказывать нельзя — дождитесь официального объявления.

Временные меры защиты​

Поскольку исправленный пакет в Debian ещё не выпущен, до его появления разумны временные меры (это защитные выводы, а не подтверждённые факты):

• ограничить использование Chromium для посещения недоверенных сайтов;
  
• усилить фильтрацию ссылок и антифишинговую осведомлённость пользователей, так как вектор требует социальной инженерии;
  
• рассмотреть альтернативный браузер для работы с недоверенным содержимым до выхода обновления;
  
• применять сетевые ограничения, например доступ к вебу через контролируемый прокси, там, где это возможно.
  

Эффективность этих мер против конкретной ошибки проверки входных данных источниками не подтверждена.

Как проверить устранение уязвимости​

После выхода исправленного пакета Debian проверка выполняется так:

bash
dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Убедитесь, что установленная версия соответствует версии из официального объявления безопасности Debian для вашего релиза (bookworm, trixie, forky или sid). Дополнительно проверьте, что статус уязвимости в Debian Security Tracker для вашего релиза изменился с open на fixed. До публикации исправления такой проверкой можно лишь зафиксировать текущую уязвимую версию.

Вывод​

CVE-2026-106414 — ошибка некорректной проверки входных данных в мобильном Chrome на iOS, позволяющая потенциально выполнить код вне песочницы через подготовленную HTML-страницу при участии жертвы. Апстрим-исправление выпущено в версии 155.0.8059.39, однако пакет chromium в Debian по всем релизам пока остаётся с открытым статусом и без назначенной исправленной версии.

Вектор CVSS предполагает удалённую атаку с высоким воздействием, а отсутствие EPSS-данных и подтверждений эксплуатации не гарантирует отсутствия риска. Отслеживайте трекер Debian, подготовьте процедуру быстрого обновления и применяйте временные меры до выхода исправленного пакета.

Официальные источники​

1. NVD — CVE-2026-106414
   
2. Debian Security Tracker — CVE-2026-106414
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.