CVE-2026-85050 в Debian: критическая уязвимость в Chromium, уязвимые версии и защита

CVE: CVE-2026-85050
Продукт: Debian
Дата публикации: 03.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,34%; процентиль 27,43%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Debian выпущены обновления пакета chromium для исправления критической уязвимости CVE-2026-85050. Ошибка в WebGL позволяет удалённому атакующему выполнить произвольный код вне песочницы браузера через специально сформированную HTML-страницу. В статье разобраны затронутые версии, механика атаки и порядок проверки системы.

Основные характеристики​

Уязвимость CVE-2026-85050 представляет собой критический риск для пользователей Debian, так как позволяет нарушителю выйти из изолированной среды браузера и получить полный контроль над системой. Ошибка связана с некорректной обработкой данных в модуле WebGL.

• Тип ошибки: CWE-787 (Out-of-bounds Write). Запись за пределы выделенной области памяти.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  
• Условия атаки: Сеть (AV:N), низкая сложность (AC:L), без прав (PR:N), требуется взаимодействие пользователя (UI:R).
  
• Влияние: Высокий уровень компрометации конфиденциальности, целостности и доступности (C:H/I:H/A:H) с изменением области (S:C).
  
• EPSS: 0,35% (процентиль 27,43%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  
• Статус в Debian: Исправлено в bookworm, trixie и sid. В forky статус open.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в дистрибутивах Debian. Статус исправления различается в зависимости от версии системы.

• Debian 12 (bookworm): Статус resolved. Исправленная версия: 152.0.7977.82-1~deb12u1. В репозитории bookworm-security доступен пакет с этим номером.
  
• Debian 13 (trixie): Статус resolved. Исправленная версия: 152.0.7977.82-1~deb13u1. В репозитории trixie-security доступен пакет с этим номером.
  
• Debian Unstable (sid): Статус resolved. Исправленная версия: 152.0.7977.82-1.
  
• Debian Testing (forky): Статус open. Исправленная версия не назначена. Текущая версия в репозитории: 150.0.7871.181-1.
  

Пользователи forky остаются уязвимыми до выпуска официального обновления в соответствующий репозиторий.

Причина уязвимости​

Причина уязвимости кроется в ошибке обработки данных в компоненте WebGL браузера Chromium. Согласно описанию CVE, происходит запись за пределы выделенной области памяти (Out-of-bounds Write, CWE-787).

Такие ошибки возникают, когда программный код обращается к памяти по адресу, который находится за границами легитимного буфера. В контексте WebGL это может быть связано с некорректной валидацией размеров буферов, индексов вершин или параметров шейдеров, передаваемых из JavaScript в нативный код.

Несмотря на то, что браузер использует песочницу (sandbox) для изоляции рендеринга, ошибка в WebGL позволяет нарушителю повредить память процесса. Это может привести к перезаписи указателей или функций, что в итоге позволяет выполнить произвольный код уже вне песочницы, получив доступ к операционной системе.

Как работает атака​

Атака реализуется через специально сформированную HTML-страницу. Атакующему не нужны права доступа к системе жертвы, но требуется, чтобы пользователь открыл вредоносную страницу в уязвимом браузере.

Механика атаки включает следующие этапы:

1. Атакующий создаёт HTML-страницу, содержащую код, который вызывает уязвимый путь в WebGL.
   
2. Пользователь открывает эту страницу в браузере Chromium версии, подверженной CVE-2026-85050.
   
3. Браузер обрабатывает WebGL-команды, и происходит запись за пределы выделенной памяти.
   
4. Нарушитель использует эту ошибку для выхода из песочницы браузера (sandbox escape).
   
5. После выхода из песочницы атакующий может выполнить произвольный код с правами текущего пользователя.
   

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Уязвимая версия браузера: Система должна использовать версию Chromium, не содержащую исправление (например, в Debian forky или не обновлённых bookworm/trixie).
  
• Взаимодействие пользователя: Атакующий должен убедить жертву открыть специально сформированную HTML-страницу. Это может быть сделано через фишинговую ссылку, рекламу или вредоносный сайт.
  
• Отсутствие блокирующих механизмов: Если в системе настроены строгие политики безопасности или используется браузер с дополнительными расширениями, блокирующими WebGL, атака может быть затруднена, но не исключена полностью.
  
• Сетевой доступ: Атакующий должен иметь возможность доставить вредоносную страницу пользователю (через интернет, локальную сеть или внешние носители).
  

Возможный сценарий атаки​

Типичный сценарий атаки начинается с рассылки фишинговых писем или сообщений, содержащих ссылку на сайт с вредоносным JavaScript-кодом для WebGL. Пользователь, работающий на Debian с уязвимой версией Chromium, открывает письмо и переходит по ссылке.

Браузер загружает страницу, и вредоносный код инициирует Out-of-bounds Write в WebGL. Это приводит к повреждению памяти и выполнению кода атакующего вне песочницы. В результате атакующий получает доступ к файловой системе, может установить вредоносное ПО или перехватить сессию пользователя.

Есть ли публичный эксплойт​

На момент публикации CVE-2026-85050 в публичных базах данных (NVD, Debian Security Tracker) не зафиксировано наличие подтверждённого публичного эксплойта или PoC. Статус CVE в NVD — Received.

Отсутствие публичного эксплойта не означает, что уязвимость не может быть эксплуатирована. Учитывая высокую оценку CVSS (9.6) и тип ошибки (Out-of-bounds Write), вероятность разработки эксплойта атакующими группами высока. Рекомендуется не полагаться на отсутствие публичного кода и своевременно устанавливать обновления.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-85050 в официальных источниках не опубликованы. Однако можно использовать общие признаки атаки на браузер:

• Аномальная активность процесса chromium: Высокое потребление CPU или памяти, неожиданные сетевые соединения из процесса браузера.
  
• Создание новых файлов: Появление неизвестных исполняемых файлов в каталогах пользователя или /tmp.
  
• Изменение конфигурации: Непредвиденные изменения в настройках браузера (например, добавление вредоносных расширений).
  
• Сетевые аномалии: Соединения с неизвестными IP-адресами или доменами, особенно если они инициированы процессом браузера.
  

Эти признаки неспецифичны и могут указывать на другие атаки, но требуют внимания при расследовании инцидентов.

Как обнаружить атаку​

Для обнаружения атаки, использующей CVE-2026-85050, рекомендуется:

• Мониторинг логов браузера: Анализ логов Chromium на предмет ошибок WebGL или аномальных вызовов. Однако специфичных маркеров для этой уязвимости в логах может не быть.
  
• Использование EDR-решений: Системы обнаружения вторжений (EDR) могут отслеживать поведение процессов, включая попытки выхода из песочницы браузера. Настройте правила для детектирования аномальной активности процесса chromium.
  
• Сетевой мониторинг: Отслеживание исходящих соединений от пользовательских сессий. Если браузер начинает устанавливать соединения с подозрительными адресами, это может быть признаком успешной атаки.
  
• Регулярное сканирование: Использование антивирусных решений и сканеров уязвимостей для проверки систем на наличие известных угроз.
  

Как проверить свою версию​

Для проверки версии установленного пакета chromium в Debian используйте следующие команды:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Замените <имя-пакета> на chromium в командах apt-cache policy и dpkg-query, если вы используете другие пакеты. Сравните полученную версию с исправленными версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия ниже исправленной, система уязвима.

Исправление​

Единственным надёжным способом устранения уязвимости является обновление пакета chromium до исправленной версии.

• Debian 12 (bookworm): Выполните apt update && apt upgrade chromium. Убедитесь, что установлена версия 152.0.7977.82-1~deb12u1 или выше.
  
• Debian 13 (trixie): Выполните apt update && apt upgrade chromium. Убедитесь, что установлена версия 152.0.7977.82-1~deb13u1 или выше.
  
• Debian Unstable (sid): Выполните apt update && apt upgrade chromium. Убедитесь, что установлена версия 152.0.7977.82-1 или выше.
  
• Debian Testing (forky): На момент публикации исправление в репозиторий forky не поступило. Рекомендуется временно использовать bookworm или trixie, либо отключить WebGL в браузере до выхода обновления.
  

После обновления перезапустите браузер, чтобы изменения вступили в силу.

Временные меры защиты​

Пока обновление не установлено, можно применить временные меры для снижения риска:

• Отключение WebGL: В настройках Chromium можно отключить WebGL. Это предотвратит выполнение кода, использующего уязвимый компонент. Однако это может нарушить работу некоторых веб-приложений.
  
• Использование другого браузера: Переключение на браузер, не содержащий уязвимость (например, Firefox или обновлённый Chromium из других источников).
  
• Ограничение доступа к веб-страницам: Избегание открытия ссылок из недоверенных источников. Использование расширений для блокировки рекламы и скриптов.
  
• Запуск браузера в изолированной среде: Использование виртуальных машин или контейнеров для веб-сёрфинга, чтобы ограничить последствия успешной атаки.
  

Эти меры не устраняют уязвимость, но снижают вероятность успешной атаки.

Как проверить устранение уязвимости​

После обновления пакета chromium необходимо убедиться, что уязвимость устранена:

1. Проверьте версию пакета с помощью dpkg-query -W -f='${Package} ${Version}\n' chromium. Убедитесь, что версия соответствует или превышает исправленную.
   
2. Перезапустите браузер и проверьте, что WebGL работает корректно (если он не был отключён).
   
3. Используйте онлайн-тесты для проверки безопасности браузера, если они доступны.
   
4. Проверьте логи системы на предмет аномальной активности после обновления.
   

Если версия соответствует исправленной, а аномальная активность не обнаружена, можно считать уязвимость устранённой.

Вывод​

CVE-2026-85050 — критическая уязвимость в Chromium, позволяющая удалённому атакующему выполнить произвольный код вне песочницы браузера. В Debian исправление уже доступно для bookworm, trixie и sid, но не для forky.

Пользователям настоятельно рекомендуется обновить пакет chromium до последней версии. До обновления следует рассмотреть временные меры, такие как отключение WebGL или использование альтернативного браузера. Регулярное отслеживание обновлений безопасности и проверка версий пакетов помогут защитить систему от подобных угроз.

Официальные источники​

1. NVD — CVE-2026-85050
   
2. Debian Security Tracker — CVE-2026-85050
   
3. FIRST EPSS — CVE-2026-85050
   

История обновлений статьи​

• 07.09.2026 — Опубликована первая версия материала.
  
• 08.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.