CVE-2026-106419 в Debian: use-after-free в ANGLE у Chromium и что делать администратору

CVE: CVE-2026-106419
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,34%; процентиль 25,19%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106419 — использование памяти после освобождения (use-after-free, CWE-416) в компоненте ANGLE браузера Chrome на Android до версии 155.0.8059.39.

По описанию вендора удалённый злоумышленник может выполнить произвольный код вне песочницы через специально созданную HTML-страницу. В Debian уязвимым зарегистрирован пакет chromium: по данным Debian Security Tracker исправление для дистрибутива ещё не выпущено, статус во всех поддерживаемых релизах — open.

В статье разобраны механика риска, состояние пакетов в Debian и практические шаги снижения угрозы.

Основные характеристики​

Суть риска: обработка специально сформированной веб-страницы может привести к обращению к уже освобождённой памяти в графическом слое ANGLE. По описанию вендора это даёт удалённому атакующему выполнение кода за пределами песочницы браузера.

• Тип ошибки: CWE-416 (use after free) в компоненте ANGLE
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевой вектор без привилегий, но требуется взаимодействие пользователя, влияние распространяется на другие компоненты
  
• Chromium severity: High
  
• EPSS: 0,34%, процентиль 25,19% — текущая оценка вероятности эксплуатации в ближайшие 30 дней низкая, метрика динамическая
  
• CISA KEV: подтверждения в каталоге нет
  
• Статус в Debian: исправление для пакета chromium пока не выпущено (fixed_version отсутствует)
  

Какие продукты и версии затронуты​

По данным NVD уязвим Google Chrome на Android до версии 155.0.8059.39 (граница version_end_excluding: 155.0.8059.39).

В Debian уязвимым зарегистрирован исходный пакет chromium. Состояние по релизам согласно Debian Security Tracker:

• bookworm: статус open, в репозитории 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1
  
• trixie: статус open, в репозитории 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1
  
• forky: статус open, 154.0.8037.92-1
  
• sid: статус open, 154.0.8037.92-1
  

Для всех релизов fixed_version не назначен, срочность помечена как «not yet assigned»: на момент проверки трекера исправленный пакет в Debian не опубликован.

Описание уязвимости относит её к Chrome на Android; применимость к десктопной сборке Chromium в Debian в явном виде источниками не подтверждена. При этом пакет числится уязвимым в трекере, и это следует учитывать при оценке риска.

Причина уязвимости​

Причина — ошибка управления временем жизни объектов (CWE-416, use after free) в ANGLE. ANGLE — графический слой трансляции вызовов OpenGL ES, который Chromium использует для рендеринга, в том числе через WebGL. Если объект, связанный с графическим контекстом, освобождается, а код продолжает с ним работать, возникает доступ к памяти после освобождения.

Точные детали внутреннего пути данных — какой именно объект освобождается и через какой API-вызов достигается повторное использование — в публичном описании CVE не раскрыты. Подтверждено только то, что триггером служит специально созданная HTML-страница, а результатом — выполнение произвольного кода вне песочницы браузера.

Как работает атака​

По официальному описанию удалённый атакующий готовит HTML-страницу, при обработке которой в ANGLE возникает use-after-free. Пользователю достаточно открыть эту страницу в уязвимой версии браузера: сетевой вектор и низкая сложность атаки отражены в CVSS-векторе (AV:N/AC:L), при этом требуется взаимодействие пользователя (UI:R).

Use-after-free в движке рендеринга опасен тем, что атакующий может повлиять на содержимое повторно выделенной памяти и перенаправить выполнение на контролируемый им код. В данном случае описание вендора прямо указывает на выполнение произвольного кода вне песочницы — то есть на нарушение изоляции, которая обычно ограничивает последствия компрометации рендерера.

Конкретная цепочка примитивов — как именно от освобождения объекта переходят к исполнению кода за границей sandbox — в доступных источниках не опубликована. Для защиты достаточно факта, что вектор входа — веб-контент, обрабатываемый уязвимым браузером.

Условия успешной эксплуатации​

Подтверждённые источниками условия:

• уязвимая версия браузера (Chrome на Android до 155.0.8059.39; в Debian — пакет chromium в состоянии open без исправления)
  
• доставка специально созданной HTML-страницы жертве
  
• взаимодействие пользователя: страница должна быть открыта в браузере (следствие UI:R в CVSS-векторе)
  

Аутентификация или привилегии на стороне цели не требуются (PR:N). Дополнительные условия — конкретные настройки, версии ОС, аппаратные особенности — источниками не раскрыты.

Возможный сценарий атаки​

Сценарий, следующий из подтверждённых фактов: злоумышленник размещает вредоносную HTML-страницу на подконтрольном или скомпрометированном сайте и добивается, чтобы пользователь открыл её в уязвимом браузере — через фишинговое письмо, ссылку в мессенджере или рекламный редирект.

При обработке страницы в ANGLE возникает use-after-free, который по описанию вендора позволяет выполнить произвольный код вне песочницы. Влияние по CVSS охватывает конфиденциальность, целостность и доступность с изменением области действия (S:C/C:H/I:H/A:H), поэтому успешная эксплуатация потенциально даёт контроль над процессом за пределами изоляции рендерера.

Дальнейшие действия атакующего после получения такого доступа источники не описывают; утверждения о закреплении в системе или горизонтальном перемещении были бы домыслом. Для администратора Debian вывод один: вектор входа — обычный веб-контент, значит риск актуален для любых рабочих станций с установленным Chromium.

Есть ли публичный эксплойт​

Доступные источники не содержат сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённых атаках с использованием CVE-2026-106419. Запись отсутствует в каталоге CISA KEV. Оценка EPSS составляет 0,34% (процентиль 25,19%), что указывает на низкую текущую прогнозируемую вероятность эксплуатации.

Отсутствие публичного эксплойта не означает его невозможности: для уязвимостей Chromium с severity High рабочие эксплойты нередко появляются после раскрытия технических деталей. Ссылка на issue Chromium (issues.chromium.org/issues/550379413) помечена тегом «Permissions Required», то есть детали ограничены — типичная практика для ещё не полностью пропатченных проблем.

Признаки эксплуатации​

Специфичные IOC для этой уязвимости (хэши эксплойтов, URL вредоносных страниц, характерные артефакты в памяти) источниками не предоставлены. Общие, неспецифичные точки контроля, применимые к любой атаке через вредоносную веб-страницу:

• журналы прокси-серверов и DNS на предмет обращений к подозрительным или новым доменам
  
• телеметрия EDR/антивируса на рабочих станциях: аномальное поведение процессов браузера, попытки запуска дочерних процессов, сетевые соединения браузера на нетипичные адреса
  
• журналы аутентификации и системные журналы на серверах, куда могли попасть пользователи после работы в браузере
  

Отсутствие срабатываний по этим точкам не исключает компрометацию и не является доказательством её наличия.

Как обнаружить атаку​

Проверка подверженности начинается с инвентаризации: определите, установлен ли пакет chromium и какая версия используется на хостах Debian. Команды приведены в разделе проверки версии.

Далее сопоставьте версию с данными Debian Security Tracker: на момент подготовки материала исправленная версия для Debian не опубликована, поэтому любая установленная версия пакета из перечисленных релизов формально относится к уязвимому состоянию. Отслеживайте страницу трекера CVE-2026-106419 на предмет появления fixed_version и обновлений безопасности.

Сетевой детект на уровне конкретной атаки недоступен (специфичных IOC нет), поэтому основной канал обнаружения — инвентаризация версий и общая телеметрия конечных точек.

Как проверить свою версию​

Определите релиз Debian и версию установленного пакета chromium:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Вывод apt-cache policy chromium покажет установленную версию и доступную в репозитории; сравните её с версиями из Debian Security Tracker, перечисленными в разделе о затронутых продуктах.

Исправление​

Полноценное исправление — обновление браузера до версии, в которой устранена уязвимость. Вверх по потоку границей является версия 155.0.8059.39 (Chrome). Для Debian на момент проверки трекера:

• fixed_version для пакета chromium не назначен ни в одном релизе (bookworm, trixie, forky, sid)
  
• срочность помечена как «not yet assigned»
  
• исправленный пакет в репозиториях Debian пока не опубликован
  

Практические действия администратора:

• регулярно проверять Debian Security Tracker на появление исправленной версии
  
• после публикации обновления выполнить apt update и установить обновление пакета chromium из security-репозитория
  
• до этого момента применить временные меры из соответствующего раздела
  

Откладывать реагирование не стоит: вектор входа — произвольная веб-страница, а заявленное последствие — выполнение кода вне песочницы.

Временные меры защиты​

Исправленный пакет Debian ещё не выпущен, поэтому риск снижается компенсирующими мерами — они не устраняют уязвимость:

• ограничить использование Chromium на критичных хостах; при наличии альтернативных браузеров перевести пользователей на них до выхода исправления
  
• блокировать на прокси/DNS доступ к недоверенным и новым доменам, ограничить произвольный веб-сёрфинг с привилегированных рабочих станций
  
• отключить или ограничить WebGL и аппаратное ускорение в политиках браузера, если это допустимо для рабочих процессов (ANGLE задействован именно в графическом конвейере)
  
• усилить контроль на конечных точках: мониторинг аномального поведения процессов браузера, ограничение прав пользователей
  
• информировать пользователей о риске открытия ссылок из недоверенных источников
  

Эффективность каждой меры зависит от среды; источниками подтверждена только сама уязвимость и вектор входа, поэтому меры перечислены как разумные защитные выводы, а не проверенные блокировки эксплуатации.

Как проверить устранение уязвимости​

После публикации исправленного пакета Debian и его установки проверьте результат:

apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что установленная версия не ниже версии, объявленной в Debian Security Tracker как fixed_version для вашего релиза, и что пакет больше не помечен в трекере как уязвимый. Дополнительно проверьте, что обновление пришло именно из security-репозитория вашего выпуска. До появления fixed_version верификация исправления невозможна — доступна только фиксация текущего уязвимого состояния.

Вывод​

CVE-2026-106419 — критичная по CVSS (9.6) уязвимость use-after-free в ANGLE с заявленным последствием в виде выполнения кода вне песочницы через вредоносную HTML-страницу. Для Debian характерная особенность ситуации: пакет chromium зарегистрирован как уязвимый во всех поддерживаемых релизах, а исправление ещё не опубликовано — статус open, fixed_version отсутствует.

Пока исправление не вышло, риск управляется компенсирующими мерами: ограничением веб-сёрфинга, контролем конечных точек и мониторингом трекера. Публичного эксплойта и записи в CISA KEV на момент подготовки материала не зафиксировано, EPSS низкая (0,34%), но эти метрики могут измениться. Ключевое действие — не пропустить выход обновления Debian и установить его без задержки.

Официальные источники​

1. NVD — CVE-2026-106419
   
2. Debian Security Tracker — CVE-2026-106419
   
3. FIRST EPSS — CVE-2026-106419
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.