CVE-2026-87438 в Debian: критический OOB-запись в WebGL, статус пакетов и защита

CVE: CVE-2026-87438
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,39%; процентиль 32,00%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость CVE-2026-87438 позволяет удалённому злоумышленнику выполнить произвольный код вне песочницы браузера через специально сформированную HTML-страницу. В дистрибутиве Debian пакет chromium во всех поддерживаемых ветках (bookworm, trixie, forky, sid) пока не содержит исправления. Статья разбирает механику ошибки, текущий статус пакетов и практические шаги для администратора.

Основные характеристики​

Риск заключается в возможности выхода из изоляции браузера и выполнения кода с привилегиями пользователя. Ошибка находится в компоненте WebGL и классифицируется как критическая.

• Тип ошибки: CWE-787 (Out-of-bounds write). Запись данных за пределы выделенной области памяти.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокий балл обусловлен сетевой векторкой, отсутствием требований к правам и сложными последствиями.
  
• Условия атаки: Требуется взаимодействие пользователя (UI:R) — открытие вредоносной страницы. Атакующий не нуждается в учётных данных.
  
• Эксплуатация: В каталоге CISA KEV не подтверждена. Публичный эксплойт не заявлен в доступных источниках.
  
• EPSS: 0,39% (0.00386). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но это не исключает риска для систем с высоким уровнем доверия к браузеру.
  

Какие продукты и версии затронуты​

Официальные данные указывают на уязвимость в Google Chrome для Android в версиях до 153.0.8010.36. Для дистрибутива Debian затрагивается пакет chromium.

Согласно Debian Security Tracker, статус всех перечисленных ниже релизов — open (открыт), исправленная версия не назначена:

• bookworm: текущая версия в репозитории 150.0.7871.100-1~deb12u1, в bookworm-security — 152.0.7977.82-1~deb12u1.
  
• trixie: текущая версия 150.0.7871.100-1~deb13u1, в trixie-security — 152.0.7977.82-1~deb13u1.
  
• forky: версия 150.0.7871.181-1.
  
• sid: версия 152.0.7977.82-1.
  

Все перечисленные сборки содержат уязвимый код, так как их версии Chromium ниже 153.0.8010.36.

Причина уязвимости​

Причина уязвимости — ошибка типа Out-of-bounds write (CWE-787) в реализации WebGL в движке Chromium.

Компонент WebGL отвечает за рендеринг 3D-графики. При обработке определённых входных данных из HTML-страницы происходит запись в память за границы выделенного буфера. Это нарушает целостность памяти и позволяет атакующему изменить данные, которые используются для управления потоком выполнения программы.

В описании CVE указано, что ошибка позволяет выполнить код вне песочницы (outside the sandbox). Это означает, что стандартные механизмы изоляции браузера, которые ограничивают доступ к системным ресурсам, не срабатывают в данном сценарии. Точные детали реализации (какие именно функции или структуры данных затрагиваются) в публичных источниках не раскрыты.

Как работает атака​

Атака реализуется через создание специально сформированной HTML-страницы, которая содержит вредоносный код, взаимодействующий с API WebGL.

1. Злоумышленник создаёт страницу, которая вызывает определённые методы WebGL.
   
2. Пользователь открывает эту страницу в уязвимом браузере.
   
3. Движок браузера обрабатывает запросы WebGL и выполняет запись в память за пределы выделенной области.
   
4. Запись позволяет атакующему изменить данные, управляющие выполнением кода (например, указатели или функции обратного вызова).
   
5. В результате браузер выполняет произвольный код с привилегиями пользователя, выходя за пределы песочницы.
   

Ключевой особенностью является необходимость взаимодействия пользователя (UI:R). Атака не может быть запущена автоматически в фоне без открытия вредоносной страницы.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Уязвимая версия браузера: Система должна использовать версию Chromium, не содержащую исправления (версии до 153.0.8010.36).
  
• Взаимодействие пользователя: Пользователь должен открыть специально сформированную HTML-страницу. Это может быть сделано через фишинговую ссылку, рекламу или вредоносный сайт.
  
• Доступ к WebGL: Браузер должен поддерживать и разрешать использование WebGL. Если WebGL отключён в настройках, атака может быть невозможна.
  
• Отсутствие дополнительных защит: Механизмы, блокирующие выполнение кода вне песочницы (например, строгие политики безопасности), не должны мешать эксплуатации.
  

Возможный сценарий атаки​

Типичный сценарий атаки выглядит следующим образом:

1. Злоумышленник распространяет ссылку на вредоносный сайт или встраивает его в рекламный баннер.
   
2. Пользователь, работающий в Debian с уязвимым пакетом chromium, переходит по ссылке.
   
3. Браузер загружает страницу и инициализирует WebGL-контекст.
   
4. Вредоносный JavaScript-код вызывает последовательность WebGL-вызовов, которые приводят к записи вне границ памяти.
   
5. Атакующий использует эту запись для изменения данных, управляющих выполнением кода, и загружает полезную нагрузку (payload).
   
6. Полезная нагрузка выполняется вне песочницы браузера, получая доступ к файловой системе, сети и другим ресурсам с привилегиями пользователя.
   

Важно, что атакующий не нуждается в учётных данных пользователя. Достаточно, чтобы пользователь открыл страницу.

Есть ли публичный эксплойт​

В доступных официальных источниках (NVD, Debian Security Tracker, Chromium Issues) информация о публичном эксплойте отсутствует.

• PoC: Публичный Proof-of-Concept не заявлен.
  
• Техническое описание: Детали реализации атаки (конкретные функции, адреса, payload) не раскрыты.
  
• Эксплуатация в реальных атаках: В каталоге CISA KEV уязвимость не подтверждена как активно эксплуатируемая.
  

Отсутствие сведений о публичном эксплойте не означает, что он не существует. Однако для администратора это означает, что риск массовой автоматической атаки пока не подтверждён, но риск целевой атаки (фишинг) остаётся высоким.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в публичных источниках не опубликованы. Ниже приведены общие, неспецифичные точки контроля, которые могут помочь в обнаружении атаки:

• Аномальная активность браузера: Внезапное увеличение использования CPU или памяти процессом chromium без видимой причины.
  
• Создание новых процессов: Запуск дочерних процессов от имени пользователя, который не является типичным для браузера (например, bash, sh, python).
  
• Сетевая активность: Непредвиденные исходящие соединения из процесса браузера, особенно на нестандартные порты или к неизвестным IP-адресам.
  
• Изменение файлов: Создание новых файлов в каталогах пользователя (например, ~/.local/share, ~/Downloads) с подозрительными именами или содержимым.
  

Эти признаки не являются уникальными для CVE-2026-87438 и могут возникать при других атаках или сбоях.

Как обнаружить атаку​

Для обнаружения атаки рекомендуется использовать следующие методы:

• Мониторинг процессов: Использование инструментов вроде auditd или eBPF для отслеживания создания процессов от имени пользователя, работающего в браузере.
  
• Сетевой мониторинг: Анализ логов файрвола и сетевых потоков для выявления аномальных исходящих соединений из процесса chromium.
  
• Анализ логов браузера: Проверка логов Chromium (если они включены) на наличие ошибок WebGL или аномальных запросов.
  
• Анти-малварь: Использование решений для обнаружения вредоносного ПО, способных анализировать поведение процессов в реальном времени.
  

Важно, что специфичных сигнатур для этой уязвимости в публичных базах данных не существует, поэтому мониторинг должен быть основан на поведенческих признаках.

Как проверить свою версию​

Для проверки текущей версии пакета chromium в Debian используйте следующие команды:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Вывод команд покажет установленную версию пакета и доступные версии в репозиториях. Сравните установленную версию с версией 153.0.8010.36: если установленная версия ниже, система уязвима.

Исправление​

На момент публикации статьи исправление для пакета chromium в Debian не выпущено. Статус всех релизов — open, исправленная версия не назначена.

Рекомендуемые действия:

• Ожидание обновления: Следите за анонсами Debian Security Tracker и Chromium Releases. Как только будет выпущена версия 153.0.8010.36 или выше, обновите пакет.
  
• Ручное обновление: После выхода исправления выполните:
  
  

  sudo apt update
  sudo apt upgrade chromium

• Альтернативные браузеры: Если критична немедленная защита, рассмотрите использование браузеров, не содержащих уязвимости (например, Firefox, если он не использует уязвимый код WebGL, или другие браузеры с актуальными обновлениями). Однако это не гарантирует полную защиту, так как уязвимость может быть распространена в других движках.
  

Важно: не используйте уязвимые версии браузера для открытия недоверенных сайтов.

Временные меры защиты​

Пока исправление не выпущено, можно применить следующие временные меры:

• Отключение WebGL: В настройках Chromium можно отключить WebGL. Это сделает невозможной эксплуатацию уязвимости, но также отключит 3D-графику на сайтах.
  
  • Перейдите в chrome://settings и найдите опцию, связанную с WebGL (может быть в разделе «Конфиденциальность и безопасность» или «Система»).
    
  • Альтернативно, запустите браузер с флагом --disable-webgl.
    
• Использование песочницы: Убедитесь, что браузер работает в режиме песочницы (по умолчанию включён). Это не защитит от выхода из песочницы, но ограничит последствия.
  
• Фишинг-защита: Обучите пользователей не открывать ссылки из недоверенных источников. Используйте расширения для блокировки фишинговых сайтов.
  
• Ограничение прав: Запускайте браузер от имени пользователя с минимальными привилегиями. Это не защитит от атаки, но ограничит доступ к системным ресурсам в случае успешной эксплуатации.
  

Эти меры снижают риск, но не устраняют уязвимость полностью.

Как проверить устранение уязвимости​

После обновления пакета chromium до версии 153.0.8010.36 или выше выполните следующие шаги для проверки:

1. Проверка версии:
   
   

   dpkg-query -W -f='${Package} ${Version}\n' chromium

   
   Убедитесь, что версия не ниже 153.0.8010.36.
   
2. Проверка логов обновления:
   
   

   grep -i chromium /var/log/apt/history.log

   
   Убедитесь, что в логах зафиксировано обновление пакета.
   
3. Функциональная проверка:
   Откройте страницу, использующую WebGL, и убедитесь, что 3D-графика работает корректно. Это подтвердит, что обновление не сломало функциональность.
   
4. Мониторинг:
   Продолжайте мониторинг системы на предмет аномальной активности браузера в течение нескольких дней после обновления.
   

Вывод​

CVE-2026-87438 представляет собой критическую уязвимость в компоненте WebGL браузера Chromium, позволяющую удалённому атакующему выполнить произвольный код вне песочницы. В дистрибутиве Debian пакет chromium во всех поддерживаемых ветках пока не содержит исправления.

Администраторам рекомендуется:

• Следить за анонсами Debian Security Tracker и Chromium Releases.
  
• Применить временные меры (отключение WebGL, обучение пользователей) до выхода обновления.
  
• После выпуска исправления немедленно обновить пакет и проверить его работу.
  

Риск атаки остаётся высоким, особенно для систем, где браузер используется для работы с недоверенным контентом. Отказ от использования уязвимых версий браузера — наиболее эффективная мера защиты.

Официальные источники​

1. NVD — CVE-2026-87438
   
2. Debian Security Tracker — CVE-2026-87438
   
3. FIRST EPSS — CVE-2026-87438
   

История обновлений статьи​

• 10.09.2026 — Опубликована первая версия материала.