CVE-2026-87438 в Debian: критическая OOB-запись в Chromium и статус обновлений

CVE: CVE-2026-87438
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,55%; процентиль 44,50%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость CVE-2026-87438 позволяет удалённому злоумышленнику выполнить произвольный код вне песочницы браузера через специально сформированную HTML-страницу. В дистрибутивах Debian пакет chromium во всех поддерживаемых ветках (bookworm, trixie, sid, forky) пока не содержит исправления. Статья разбирает механику ошибки, текущий статус пакетов и действия администратора.

Основные характеристики​

Риск представляет собой критическую уязвимость в компоненте WebGL браузера Chromium, позволяющую выйти из песочницы и выполнить код на уровне системы. Для администраторов Debian это означает, что пока не выпущено обновление, системы с установленным chromium остаются уязвимыми к удалённой атаке через веб-контент.

• Тип ошибки: CWE-787 (Out-of-bounds write). Запись за пределы выделенной памяти в модуле WebGL.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокий балл обусловлен удалённым вектором, низким порогом сложности и полным компрометированием конфиденциальности, целостности и доступности.
  
• Условия атаки: Требуется взаимодействие пользователя (UI:R) — открытие вредоносной страницы. Права не требуются (PR:N).
  
• Эксплуатация: В каталоге CISA KEV не подтверждена. EPSS составляет 0,55% (процентиль 44,5%), что указывает на умеренную вероятность эксплуатации в ближайшие 30 дней.
  
• Статус в Debian: Во всех ветках статус open, исправленная версия не назначена (not yet assigned).
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в дистрибутивах Debian. Согласно данным Debian Security Tracker, на момент публикации исправление отсутствует во всех поддерживаемых и тестовых ветках.

• bookworm: Версии 150.0.7871.100-1~deb12u1 (основной репозиторий) и 152.0.7977.82-1~deb12u1 (security-репозиторий) уязвимы.
  
• trixie: Версии 150.0.7871.181-1~deb13u1 (основной) и 152.0.7977.82-1~deb13u1 (security) уязвимы.
  
• sid (unstable): Версия 152.0.7977.82-1 уязвима.
  
• forky: Версия 150.0.7871.181-1 уязвима.
  

Все перечисленные версии содержат уязвимый код WebGL. Официальный статус в Debian Security Tracker — open, приоритет не назначен.

Причина уязвимости​

Причина уязвимости кроется в ошибке обработки данных в модуле WebGL браузера Chromium. Конкретно речь идёт об операции записи за пределы границ выделенного буфера (Out-of-bounds write, CWE-787).

Механика ошибки связана с тем, что при обработке определённых команд или данных WebGL-контекста браузер некорректно проверяет границы памяти. Злоумышленник может сформировать HTML-страницу, содержащую специфическую последовательность вызовов WebGL API, которая приведёт к записи данных в область памяти, не принадлежащую текущему объекту.

Поскольку Chromium использует песочницу (sandbox) для изоляции рендеринга веб-контента, выход за пределы буфера в этом компоненте позволяет нарушить целостность памяти процесса. Это открывает путь для обхода механизмов изоляции и выполнения кода в контексте, выходящем за рамки песочницы браузера.

Как работает атака​

Атака реализуется через веб-контент. Злоумышленник создаёт HTML-страницу, которая при загрузке в уязвимый браузер инициирует последовательность операций в WebGL.

• Вектор атаки: Сеть (AV:N). Атака возможна удалённо, без необходимости физического доступа или локального присутствия.
  
• Сложность: Низкая (AC:L). Не требуется обход механизмов защиты или сложная настройка окружения.
  
• Права: Не требуются (PR:N). Атакующий не должен быть аутентифицированным пользователем.
  
• Взаимодействие: Требуется (UI:R). Жертва должна открыть вредоносную страницу в браузере.
  

При выполнении вредоносного кода в WebGL происходит запись за пределы выделенной памяти. Это позволяет атакующему изменить данные, используемые браузером для управления процессами или памятью.

В результате нарушается изоляция песочницы, и атакующий получает возможность выполнить произвольный код с привилегиями процесса браузера, но вне ограничений sandbox. Это приводит к полной компрометации системы (C:H, I:H, A:H) в контексте пользователя, запустившего браузер.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Уязвимая версия браузера: Система должна использовать версию пакета chromium в Debian, которая не содержит исправления (все текущие версии в bookworm, trixie, sid, forky).
  
• Взаимодействие пользователя: Жертва должна открыть специально сформированную HTML-страницу в уязвимом браузере. Атака не может быть проведена полностью автоматически без действия пользователя.
  
• Поддержка WebGL: Браузер должен иметь активный и поддерживаемый модуль WebGL, так как уязвимость находится именно в этом компоненте.
  
• Отсутствие дополнительных защит: Если на уровне ОС или браузера настроены дополнительные механизмы изоляции (например, строгие политики AppArmor/SELinux, ограничивающие доступ к памяти), они могут усложнить, но не гарантированно заблокировать эксплуатацию, так как CVE классифицируется как критический выход из песочницы.
  

Возможный сценарий атаки​

Типичный сценарий атаки начинается с рассылки фишинговых писем или размещения вредоносного кода на популярных сайтах. Жертва получает ссылку на страницу, которая выглядит безобидно, но содержит скрытый JavaScript-код, взаимодействующий с WebGL.

При открытии страницы браузер инициализирует WebGL-контекст. Вредоносный код отправляет в драйвер или движок WebGL специально сформированные команды, которые вызывают запись данных за пределы выделенного буфера.

Это приводит к повреждению памяти, используемой браузером для управления процессами. Атакующий использует это повреждение для обхода механизмов песочницы Chromium. В результате выполняется произвольный код вне песочницы.

Злоумышленник может установить бэкдор, украсть данные, скомпрометировать учётные записи или использовать систему для дальнейших атак в сети. Поскольку атака требует взаимодействия пользователя, она часто маскируется под легитимный контент.

Есть ли публичный эксплойт​

На момент публикации CVE-2026-87438 в каталоге CISA KEV (Known Exploited Vulnerabilities) уязвимость не фигурирует. Это означает, что подтверждённая массовая эксплуатация в реальных атаках не зафиксирована.

EPSS (Exploit Prediction Scoring System) оценивает вероятность эксплуатации в 0,55% (процентиль 44,5%). Это умеренный показатель, который не указывает на активную эксплуатацию, но и не исключает её в будущем.

Публичные PoC (Proof of Concept) или готовые эксплойты в открытых источниках на момент анализа не подтверждены. Отсутствие сведений об эксплойте не означает, что он не существует; он может быть доступен только атакующим группам или в закрытых базах данных.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-87438 в открытых источниках не опубликованы. Однако администраторы могут использовать следующие неспецифичные признаки для мониторинга:

• Аномальная активность браузера: Внезапное увеличение потребления CPU или памяти процессом chromium при открытии веб-страниц.
  
• Создание новых процессов: Запуск дочерних процессов от имени пользователя, запустившего браузер, с подозрительными аргументами или в нестандартных каталогах.
  
• Сетевая активность: Нестандартные исходящие соединения из процесса браузера, особенно на нестандартные порты или к IP-адресам, не связанным с посещаемыми сайтами.
  
• Изменение файлов: Создание или модификация файлов в каталогах профиля пользователя или системных каталогах, не связанных с нормальным использованием браузера.
  

Эти признаки не являются уникальными для данной уязвимости и могут указывать на другие атаки, но их наличие требует расследования.

Как обнаружить атаку​

Для обнаружения атаки, использующей CVE-2026-87438, рекомендуется использовать следующие методы:

• Мониторинг процессов: Настройка правил в SIEM или EDR для отслеживания создания процессов от имени chromium с подозрительными аргументами или в нестандартных каталогах.
  
• Анализ сетевых журналов: Поиск аномальных исходящих соединений из процессов браузера, особенно на нестандартные порты или к IP-адресам, не связанным с посещаемыми сайтами.
  
• Мониторинг файлов: Отслеживание создания или модификации файлов в каталогах профиля пользователя или системных каталогах, не связанных с нормальным использованием браузера.
  
• Анализ журналов браузера: Проверка логов Chromium на наличие ошибок или предупреждений, связанных с WebGL или памятью, которые могут указывать на попытку эксплуатации.
  

Поскольку специфичные IOC не опубликованы, эти методы являются общими и требуют корреляции с другими событиями для подтверждения атаки.

Как проверить свою версию​

Для проверки текущей версии пакета chromium в Debian используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии Debian
cat /etc/debian_version
cat /etc/os-release

# Проверка версии пакета chromium
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Сравните полученную версию с версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия совпадает с одной из уязвимых, система требует обновления. Обратите внимание, что на момент публикации исправление в Debian ещё не выпущено, поэтому все текущие версии считаются уязвимыми.

Исправление​

Основным методом устранения уязвимости является обновление пакета chromium до версии, содержащей исправление. Однако на момент публикации CVE-2026-87438 в Debian Security Tracker статус для всех веток (bookworm, trixie, sid, forky) указан как open, а исправленная версия не назначена (not yet assigned).

Администраторам рекомендуется:

• Отслеживать обновления: Регулярно проверять Debian Security Tracker на появление исправления.
  
• Подписаться на рассылки: Подписаться на рассылки Debian Security, чтобы получать уведомления о выпуске обновлений.
  
• Рассмотреть альтернативы: Если критическая безопасность важна, рассмотреть использование других браузеров, которые уже выпустили исправление, или отключить WebGL в Chromium (см. раздел «Временные меры защиты»).
  

Временные меры защиты​

Пока исправление не выпущено, можно применить следующие временные меры для снижения риска:

• Отключение WebGL: В настройках Chromium можно отключить WebGL. Это полностью исключает возможность эксплуатации уязвимости, но может повлиять на работу некоторых веб-приложений, использующих 3D-графику.
  
  • В адресной строке введите chrome://settings и найдите раздел «Конфиденциальность и безопасность».
    
  • В разделе «Настройки сайта» найдите «WebGL» и отключите его.
    
• Использование альтернативного браузера: Переключиться на браузер, который уже выпустил исправление для данной уязвимости.
  
• Ограничение доступа к веб-контенту: Ограничить доступ пользователей к недоверенным веб-сайтам или использовать прокси-сервер с фильтрацией контента.
  
• Усиление песочницы: Убедиться, что на уровне ОС настроены строгие политики изоляции (AppArmor, SELinux), которые могут усложнить эксплуатацию, даже если уязвимость существует.
  

Эти меры не заменяют обновление, но снижают вероятность успешной атаки.

Как проверить устранение уязвимости​

После выпуска исправления в Debian и его установки необходимо проверить, что уязвимость устранена:

• Проверка версии: Используйте команду dpkg-query -W -f='${Package} ${Version}\n' chromium для проверки, что установлена версия, указанная в анонсе Debian Security как исправляющая CVE-2026-87438.
  
• Проверка через Debian Security Tracker: Убедитесь, что статус CVE-2026-87438 в Debian Security Tracker изменился с open на fixed или resolved.
  
• Функциональное тестирование: Проведите тестирование браузера, чтобы убедиться, что WebGL работает корректно и не вызывает ошибок. Если WebGL отключён как временная мера, убедитесь, что после обновления его можно безопасно включить.
  
• Мониторинг: Продолжайте мониторинг системы на предмет аномальной активности, даже после обновления, так как другие уязвимости могут быть использованы для атаки.
  

Вывод​

CVE-2026-87438 представляет собой критическую уязвимость в компоненте WebGL браузера Chromium, позволяющую удалённому злоумышленнику выполнить произвольный код вне песочницы. Для администраторов Debian это означает, что пока не выпущено обновление, системы с установленным chromium остаются уязвимыми.

Рекомендуется отслеживать статус исправления в Debian Security Tracker, применять временные меры защиты (отключение WebGL, использование альтернативного браузера) и быть готовыми к быстрой установке обновления, как только оно станет доступно.

Отсутствие подтверждённой эксплуатации в CISA KEV не должно снижать бдительность, учитывая высокий CVSS-балл и критическую природу уязвимости.

Официальные источники​

1. NVD — CVE-2026-87438
   
2. Debian Security Tracker — CVE-2026-87438
   
3. FIRST EPSS — CVE-2026-87438
   

История обновлений статьи​

• 10.09.2026 — Опубликована первая версия материала.
  
• 13.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.