CVE-2026-19149 в Debian: использование устаревшей памяти в компоненте Aura

CVE: CVE-2026-19149
Продукт: Debian
Дата публикации: 07.08.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,40%; процентиль 32,49%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость CVE-2026-19149 в Debian связана с ошибкой использования устаревшей памяти (use-after-free) в компоненте Aura в Google Chrome на Linux. Эта уязвимость может быть использована для потенциального экранирования песочницы через специально подготовленную HTML-страницу. Критичность уязвимости оценена как высокая, она затрагивает версии браузера ниже 151.0.7922.109.

Основные характеристики​

CVE-2026-19149 представляет собой уязвимость типа use-after-free, возникающую в компоненте Aura движка Chromium, используемого в Google Chrome. Ошибка позволяет удалённому злоумышленнику потенциально выполнить экранирование песочницы при открытии специально подготовленной веб-страницы. Уязвимость имеет оценку CVSS 9.6 и классифицируется как критическая. В Debian она затрагивает пакет chromium. Уязвимость не влияет на ядро Linux и не требует локального доступа для эксплуатации. Применение уязвимости возможно через взаимодействие пользователя с вредоносной страницей.

Какие продукты и версии затронуты​

В Debian уязвимость CVE-2026-19149 затрагивает пакет chromium. Согласно данным Debian Security Tracker, уязвимая версия браузера распространяется в следующих релизах: bookworm (150.0.7871.100), trixie (150.0.7871.100), forky (150.0.7871.181). В релизах bullseye и sid проблема решена, однако в bullseye система находится в состоянии end-of-life и не получает обновлений. Для всех указанных версий рекомендуются обновления до версий, где устранена уязвимость. Уязвимость не затрагивает другие компоненты Debian, кроме Chromium.

Причина уязвимости​

Корневая проблема связана с уязвимостью в реализации компонента Aura в движке Chromium. При обработке определённых HTML-элементов в памяти происходит освобождение объекта, после чего он остаётся доступным в других частях кода. Это позволяет злоумышленнику использовать освобожденную память для перезаписи данных или выполнения произвольного кода. Уязвимость классифицирована как CWE-416 — использование устаревшей памяти. Она не связана с ошибками в ядре Linux и не затрагивает системные вызовы.

Как работает атака​

Атака возможна через специально подготовленную HTML-страницу, которая активирует уязвимость в компоненте Aura. При открытии такой страницы в браузере Chrome, система может выполнить операции с устаревшей памятью, что позволяет злоумышленнику получить контроль над процессом. В зависимости от реализации, это может привести к выполнению произвольного кода в контексте браузера. Уязвимость не требует локального доступа и может быть использована в удалённой атаке. Механизм работы не связан с правами пользователя и не требует повышения привилегий.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости требуется, чтобы пользователь открыл специально подготовленную веб-страницу в браузере Chrome. Уязвимость не требует специальных условий, кроме того, что браузер должен быть запущен и открыть вредоносную страницу. Необходимо, чтобы система использовала версию браузера ниже 151.0.7922.109. Атакующий не требует специальных прав доступа к системе, но должен иметь возможность доставить вредоносную страницу пользователю.

Возможный сценарий атаки​

Сценарий атаки предполагает, что злоумышленник создаёт веб-страницу с кодом, который активирует уязвимость в компоненте Aura. Когда пользователь открывает эту страницу в браузере Chrome, система выполняет уязвимый код. Это может привести к выполнению произвольного кода в контексте браузера, что позволяет злоумышленнику получить доступ к данным пользователя или выполнить действия от имени браузера. Сценарий не требует локального доступа к системе и может быть реализован через интернет.

Есть ли публичный эксплойт​

На момент анализа не подтверждено наличие публичного эксплойта или PoC, который напрямую демонстрирует эксплуатацию уязвимости CVE-2026-19149. Отсутствие подтверждённой эксплуатации не исключает возможности её создания, но указывает на то, что пока не известны специфичные сценарии или инструменты для автоматического использования уязвимости. Уязвимость не имеет открытых PoC, и её эксплуатация требует глубокого знания внутреннего устройства браузера.

Признаки эксплуатации​

Признаки компрометации не указаны в официальных источниках. Однако, в случае атаки, можно наблюдать необычное поведение браузера, такие как сбои в работе, неожиданное поведение интерфейса, или аномалии в журналах безопасности. Также возможно отслеживание запросов к вредоносным доменам или анализ трафика, если пользователь открыл вредоносную страницу. Для мониторинга рекомендуется использовать средства обнаружения вторжений и анализировать журналы браузера.

Как обнаружить атаку​

Обнаружение уязвимости возможно через проверку версии установленного пакета chromium. В системах Debian можно использовать команды apt-cache policy или dpkg-query для проверки текущей версии. Если версия ниже 151.0.7922.109, система считается уязвимой. Также рекомендуется отслеживать журналы безопасности и активность браузера на предмет необычного поведения. Наличие подозрительных запросов к внешним ресурсам может указывать на попытку эксплуатации.

Как проверить свою версию​

Для проверки версии установленного пакета chromium в Debian можно использовать следующие команды:

cat /etc/debian_version
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Если версия меньше 151.0.7922.109, система уязвима.

Исправление​

Рекомендуется обновить пакет chromium до версии, где устранена уязвимость. В Debian это означает установку версии 151.0.7922.108 или выше. Обновление можно выполнить через систему управления пакетами apt:

sudo apt update
sudo apt upgrade chromium

Для систем, где пакет не обновляется автоматически, необходимо вручную установить актуальную версию из репозиториев безопасности. Рекомендуется также отключить использование браузера Chrome для работы с доверенными сайтами до завершения обновления.

Временные меры защиты​

Временные меры защиты включают ограничение доступа к вредоносным сайтам, использование средств фильтрации трафика, и отключение автоматического открытия веб-страниц в браузере. Также рекомендуется использовать дополнительные слои защиты, такие как песочница браузера, и отслеживать активность браузера на предмет подозрительных действий. В случае необходимости, можно временно отключить браузер Chrome до обновления.

Как проверить устранение уязвимости​

После применения обновлений рекомендуется проверить, что версия пакета chromium соответствует версии, где устранена уязвимость. Это можно сделать с помощью команд:

apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Если версия выше 151.0.7922.108, уязвимость устранена. Также рекомендуется перезапустить браузер и проверить его работу на предмет отсутствия аномалий.

Вывод​

Уязвимость CVE-2026-19149 в Debian представляет собой критическую уязвимость в компоненте Aura движка Chromium. Она позволяет удалённому злоумышленнику выполнить экранирование песочницы при открытии специально подготовленной веб-страницы. Системы, использующие версии браузера ниже 151.0.7922.109, находятся в зоне риска. Рекомендуется немедленно обновить пакет chromium до версии, где устранена уязвимость. Обновление необходимо как для систем, так и для пользователей, которые используют браузер Chrome в Debian.

Официальные источники​

1. NVD — CVE-2026-19149
   
2. Debian Security Tracker — CVE-2026-19149
   
3. FIRST EPSS — CVE-2026-19149
   

История обновлений статьи​

• 10.08.2026 — Опубликована первая версия материала.
  
• 10.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.