CVE-2026-78935 в Debian: критический риск в Chromium, статус исправлений и проверка версий

CVE: CVE-2026-78935
Продукт: Debian
Дата публикации: 26.08.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,51%; процентиль 41,26%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Chromium для Debian обнаружена критическая уязвимость, позволяющая удалённому атакующему выполнить код вне песочницы через специально сформированную HTML-страницу. Проблема связана с использованием неинициализированной переменной в мобильном компоненте. На момент публикации данных для всех поддерживаемых релизов Debian статус уязвимости остаётся открытым, исправленные версии пакетов не выпущены.

Основные характеристики​

Риск представляет собой возможность удалённого выполнения кода (RCE) с обходом изоляции браузера. Атака требует взаимодействия пользователя с вредоносным веб-контентом, но не требует предварительной аутентификации.

• Тип ошибки: CWE-457 (Use of uninitialized variable). Использование памяти, которой не присвоено значение, приводит к непредсказуемому поведению движка.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокая оценка обусловлена сетевым вектором и полным компрометированием конфиденциальности, целостности и доступности.
  
• Условия атаки: Атакующий находится в сети (AV:N), сложность низкая (AC:L), привилегии не требуются (PR:N), но требуется взаимодействие пользователя (UI:R).
  
• Эксплуатация: В каталоге CISA KEV подтверждений активной эксплуатации не зафиксировано.
  
• EPSS: 0,51% (процентиль 41,26%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в дистрибутивах Debian. Согласно данным Debian Security Tracker, на текущий момент исправленные версии для всех перечисленных релизов отсутствуют (статус open).

• Debian 12 (bookworm): Версии в репозиториях 150.0.7871.100-1~deb12u1 и 151.0.7922.173-1~deb12u1.
  
• Debian 11 (bullseye): Версия 120.0.6099.224-1~deb11u1. Релиз находится в статусе end-of-life.
  
• Debian 13 (trixie): Версии 150.0.7871.100-1~deb13u1 и 151.0.7922.173-1~deb13u1.
  
• Debian sid (unstable): Версия 151.0.7922.173-1.
  
• Debian forky (testing): Версия 150.0.7871.181-1.
  

Все перечисленные сборки содержат уязвимый код, так как версия Chromium в них ниже пороговой 152.0.7977.65.

Причина уязвимости​

Причина уязвимости кроется в нарушении правил управления памятью в мобильном компоненте Chromium. Конкретно речь идёт об использовании неинициализированной переменной (CWE-457).

В движке браузера переменная, которая должна была быть инициализирована перед использованием, читается в состоянии, когда в ней содержится случайные данные из памяти. Это приводит к непредсказуемому поведению программы, которое атакующий может использовать для управления потоком выполнения или записи данных в произвольные области памяти.

Такие ошибки часто приводят к обходу механизмов изоляции (песочницы), так как позволяют нарушить целостность данных, на которые полагается система безопасности браузера.

Как работает атака​

Атака реализуется через специально сформированную HTML-страницу. Пользователь должен открыть эту страницу в уязвимом браузере. Вектор атаки сетевой, сложность низкая, предварительные привилегии не требуются.

При загрузке страницы срабатывает логика, содержащая ошибку с неинициализированной переменной. Это позволяет атакующему выполнить произвольный код вне песочницы браузера. Обход песочницы критически важен, так как он даёт доступ к системным ресурсам, которые в норме изолированы от веб-контента.

После выполнения кода вне песочницы атакующий получает полный контроль над сессией пользователя, включая доступ к данным, cookie и потенциально к системе в целом, в зависимости от контекста выполнения.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Доступ к сети: Атакующий должен иметь возможность доставить вредоносную HTML-страницу до жертвы (например, через фишинг или заражённый сайт).
  
• Взаимодействие пользователя: Жертва должна открыть вредоносную страницу в уязвимом браузере. Автоматическая эксплуатация без действий пользователя невозможна (UI:R).
  
• Уязвимая версия Chromium: Система должна использовать версию Chromium, меньшую 152.0.7977.65. В контексте Debian это все текущие версии пакетов chromium в репозиториях.
  
• Отсутствие исправлений: На момент анализа исправленные версии пакетов в Debian не выпущены, поэтому все системы с установленным Chromium уязвимы.
  

Возможный сценарий атаки​

Атакующий создаёт веб-страницу, содержащую код, который триггерит использование неинициализированной переменной в мобильном модуле Chromium. Жертва переходит по ссылке на эту страницу. Браузер загружает контент, и в процессе рендеринга или обработки данных срабатывает уязвимость.

В результате атакующий получает возможность выполнить произвольный код в контексте браузера, но уже вне изолированной среды (песочницы). Это позволяет обойти механизмы безопасности, ограничивающие доступ веб-страниц к системным ресурсам. Атакующий может установить вредоносное ПО, украсть данные или использовать систему как точку для дальнейших атак в локальной сети.

Есть ли публичный эксплойт​

Официальные источники не публиковали готовый рабочий эксплойт (PoC) или подтверждённые случаи эксплуатации в реальных атаках. В каталоге CISA KEV CVE-2026-78935 отсутствует, что указывает на отсутствие подтверждённой массовой эксплуатации на текущий момент.

Техническое описание уязвимости доступно в баг-трекере Chromium, но доступ к нему может быть ограничен (Permissions Required). Отсутствие публичного эксплойта не означает, что атака невозможна; она лишь не задокументирована в открытых базах данных.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой конкретной уязвимости в открытых источниках не опубликованы. Однако можно использовать общие признаки атаки на браузер:

• Аномальная активность процесса: Внезапное увеличение потребления CPU или памяти процессом chromium при открытии определённых страниц.
  
• Сетевые соединения: Необычные исходящие соединения из процесса браузера на нестандартные порты или к неизвестным IP-адресам.
  
• Создание файлов: Появление новых исполняемых файлов в каталогах пользователя, созданных в момент открытия подозрительной веб-страницы.
  

Эти признаки неспецифичны и могут указывать на другие атаки, поэтому требуют дополнительной верификации.

Как обнаружить атаку​

Для обнаружения попыток эксплуатации рекомендуется настроить мониторинг событий безопасности:

• Журналы браузера: Анализ логов Chromium (если включено логирование) на предмет ошибок сегментации (segfault) или аварийных завершений (crash) при обработке определённых URL.
  
• Сетевой трафик: Использование IDS/IPS для детектирования подозрительных HTTP-запросов, содержащих аномальные структуры HTML или JavaScript, которые могут триггерить уязвимость.
  
• Системные логи: Мониторинг /var/log/syslog или journalctl на сообщения об ошибках в процессе chromium, связанные с нарушением целостности памяти.
  

Поскольку уязвимость требует взаимодействия пользователя, корреляция времени открытия подозрительных ссылок с последующими аномалиями в системе является ключевым методом детекции.

Как проверить свою версию​

Для проверки текущей версии Chromium и статуса системы в Debian используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии Debian
cat /etc/debian_version
cat /etc/os-release

# Проверка версии установленного пакета Chromium
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Сравните полученную версию с пороговым значением 152.0.7977.65. Если версия пакета в Debian ниже этого значения (что подтверждается данными Security Tracker), система уязвима. Обратите внимание, что в Debian версии пакетов имеют суффиксы (например, ~deb12u1), которые не влияют на номер версии Chromium, но указывают на сборку дистрибутива.

Исправление​

На текущий момент исправленные версии пакета chromium для всех релизов Debian не выпущены. Статус в Debian Security Tracker для всех версий (bookworm, bullseye, trixie, sid, forky) остаётся open.

Единственным надёжным методом устранения уязвимости является обновление Chromium до версии 152.0.7977.65 или выше. Поскольку Debian не предоставил патч, администраторам необходимо:

• Подписаться на обновления Debian Security Tracker для отслеживания выпуска исправлений.
  
• Рассмотреть возможность установки Chromium из неофициальных репозиториев или сборки из исходников, если критическая безопасность важнее стабильности дистрибутива (не рекомендуется для продакшена без тестирования).
  
• До выхода официального патча применять временные меры митигации.
  

Временные меры защиты​

Пока исправление не выпущено, рекомендуется применить следующие временные меры:

• Ограничение доступа: Ограничьте использование браузера Chromium только для доверенных сайтов. Избегайте открытия ссылок из неизвестных источников.
  
• Использование альтернативных браузеров: Если возможно, переключите пользователей на другие браузеры, не содержащие данную уязвимость (например, Firefox или Safari, если они поддерживаются в вашей среде).
  
• Песочница и изоляция: Убедитесь, что браузер запускается в изолированной среде (например, в контейнере или виртуальной машине), чтобы ограничить последствия в случае успешной атаки.
  
• Обучение пользователей: Предупредите пользователей о риске фишинга и необходимости быть осторожными при переходе по ссылкам из писем и сообщений.
  

Как проверить устранение уязвимости​

После выпуска исправления в Debian и его установки, выполните следующие шаги для верификации:

1. Проверка версии: Убедитесь, что версия Chromium обновилась до 152.0.7977.65 или выше.
   
   

   dpkg-query -W -f='${Package} ${Version}\n' chromium

2. Проверка статусов в Security Tracker: Убедитесь, что статус CVE-2026-78935 в Debian Security Tracker изменился на fixed.
   
3. Функциональное тестирование: Проведите базовое тестирование браузера для подтверждения работоспособности после обновления.
   
4. Мониторинг: Продолжайте мониторинг системных логов в течение нескольких дней после обновления для выявления возможных регрессий или аномалий.
   

Вывод​

CVE-2026-78935 представляет собой критическую угрозу для пользователей Chromium в Debian, так как позволяет удалённому атакующему выполнить код вне песочницы.

На момент публикации статьи исправленные версии пакетов в Debian отсутствуют, что делает все системы с установленным Chromium уязвимыми.

Приоритетом должно быть отслеживание выпуска патчей Debian и применение временных мер митигации, таких как ограничение доступа к недоверенным сайтам и использование альтернативных браузеров.

Официальные источники​

1. NVD — CVE-2026-78935
   
2. Debian Security Tracker — CVE-2026-78935
   
3. FIRST EPSS — CVE-2026-78935
   

История обновлений статьи​

• 30.08.2026 — Опубликована первая версия материала.