CVE-2026-87448 в Debian: Use After Free в Chromium DevTools и статус обновлений

CVE: CVE-2026-87448
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,49%; процентиль 40,98%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В компоненте DevTools браузера Chromium обнаружена уязвимость Use After Free (CWE-416), позволяющая удаленному атакующему выполнить произвольный код вне песочницы через специально сформированную HTML-страницу. Google выпустила исправление в версии 153.0.8010.36, однако в Debian Security Tracker статус для всех поддерживаемых релизов остается «open». Материал описывает механику атаки, текущие версии пакетов в репозиториях Debian и способы проверки статуса системы.

Основные характеристики​

Уязвимость позволяет обойти изоляцию браузера и выполнить код на уровне операционной системы через вредоносную веб-страницу. Хотя Chromium классифицирует риск как «Low», оценка NVD указывает на критическую степень тяжести при успешной эксплуатации.

• Тип ошибки: CWE-416 (Use After Free) — обращение к памяти после освобождения.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  
• EPSS: 0,49% (процентиль 40,98%) — вероятность эксплуатации в ближайшие 30 дня оценивается как низкая.
  
• Статус в Debian: «open» для всех релизов, приоритет не назначен.
  
• Исправление: Доступно в Chromium 153.0.8010.36, но еще не включено в официальные репозитории Debian.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает компонент DevTools в Chromium. В Debian это соответствует пакету chromium.

Согласно Debian Security Tracker, на момент публикации исправления Google (версия 153.0.8010.36) в репозиториях Debian установлены следующие версии, которые не содержат патч:

• bookworm: 150.0.7871.100-1~deb12u1 (основной), 152.0.7977.82-1~deb12u1 (security).
  
• trixie: 150.0.7871.181-1~deb13u1 (основной), 152.0.7977.82-1~deb13u1 (security).
  
• sid (unstable): 152.0.7977.82-1.
  
• forky: 150.0.7871.181-1.
  

Все перечисленные версии ниже 153.0.8010.36 и, следовательно, уязвимы. Статус в трекере — «open», приоритет не назначен.

Причина уязвимости​

Причина уязвимости — ошибка типа Use After Free (CWE-416) в модуле DevTools. Этот компонент отвечает за инструменты разработчика и взаимодействует с внутренними объектами Chromium.

Ошибка возникает при обращении к памяти, которая уже была освобождена. В контексте DevTools это может происходить при обработке определенных событий или объектов, связанных с отладкой веб-страниц. Злоумышленник может контролировать содержимое освобожденной памяти, что позволяет изменить поведение программы и перехватить поток выполнения.

Как работает атака​

Атакующий создает специально сформированную HTML-страницу, которая при открытии в уязвимом браузере активирует сценарий Use After Free в DevTools.

Ключевой момент механики — обход песочницы (sandbox). Обычно код, выполняемый в контексте веб-страницы, изолирован от операционной системы. Однако из-за ошибки в DevTools атакующий может выйти за пределы этой изоляции и выполнить произвольный код на уровне процесса браузера, который имеет доступ к ресурсам ОС.

Для успешной атаки пользователю необходимо открыть вредоносную страницу. Это может произойти при переходе по ссылке, загрузке файла или просмотре рекламы. После выполнения кода атакующий получает полный контроль над сессией браузера и, потенциально, над системой.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Уязвимая версия: Установлен Chromium версии ниже 153.0.8010.36 (в Debian — все текущие версии в репозиториях).
  
• Взаимодействие пользователя: Пользователь должен открыть специально сформированную HTML-страницу. Атака не может быть выполнена полностью удаленно без участия жертвы.
  
• Доступ к DevTools: Уязвимость находится в модуле DevTools. Хотя DevTools обычно активируются вручную, атакующий может использовать JavaScript для их открытия или использовать другие векторы, если они доступны в конкретной конфигурации. В описании CVE указано, что атака возможна через «crafted HTML page», что подразумевает автоматизацию или обход ограничений.
  
• Отсутствие исправлений: Система не обновлена до версии, содержащей патч от Google.
  

Возможный сценарий атаки​

Типичный сценарий атаки начинается с фишинга или вредоносной рекламы. Пользователь переходит по ссылке на сайт, который содержит вредоносный HTML-код.

При загрузке страницы браузер инициализирует DevTools (возможно, скрытно или через уязвимость в логике их запуска). Вредоносный код вызывает сценарий Use After Free, который позволяет атакующему изменить указатели памяти и выполнить произвольный код.

После выхода из песочницы атакующий может установить бэкдор, украсть данные (cookies, пароли, токены) или использовать систему для атак на другие ресурсы. Поскольку код выполняется вне песочницы, он имеет те же права, что и пользователь, запустивший браузер.

Есть ли публичный эксплойт​

На момент публикации CVE-2026-87448 публичные эксплойты не подтверждены. В базе данных NVD и в материалах Google отсутствуют ссылки на рабочие PoC или подтвержденную эксплуатацию в реальных атаках.

Однако наличие CVSS 9.6 и описание механики (Use After Free с обходом песочницы) указывают на то, что разработка эксплойта технически возможна. Отсутствие публичного эксплойта не означает, что уязвимость не может быть использована целевыми группами атакующих, которые могут разрабатывать эксплойты самостоятельно.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-87448 в официальных источниках не опубликованы. Поэтому для обнаружения атаки следует использовать общие, неспецифичные признаки атаки на браузер:

• Необычная активность процесса chromium (высокое использование CPU, сетевые соединения с неизвестными IP).
  
• Появление новых процессов, запущенных от имени пользователя, использующего браузер.
  
• Изменения в конфигурации браузера (например, добавление вредоносных расширений или изменение домашней страницы).
  
• Запросы к подозрительным доменам в сетевых журналах, совпадающие по времени с открытием браузером страниц.
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется мониторинг следующих аспектов:

• Сетевой трафик: Анализ DNS-запросов и HTTP-трафика на предмет обращений к известным C2-серверам или подозрительным доменам.
  
• Журналы процессов: Отслеживание создания новых процессов, родительским процессом которых является chromium. Особенно подозрительно, если процесс пытается установить сетевое соединение или модифицировать файлы в системных каталогах.
  
• Аудит файлов: Проверка на наличие новых или измененных файлов в профилях пользователей, каталогах временных файлов и каталогах расширений браузера.
  
• Системные логи: Анализ логов syslog или journald на предмет ошибок или предупреждений, связанных с Chromium.
  

Как проверить свою версию​

Для проверки текущей версии Chromium в Debian используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии ОС
cat /etc/debian_version
cat /etc/os-release

# Проверка версии установленного пакета
dpkg-query -W -f='${Package} ${Version}\n' chromium

# Проверка доступных версий в репозиториях
apt-cache policy chromium

Сравните полученную версию с версией 153.0.8010.36. Если версия ниже, система уязвима. Обратите внимание, что в Debian версии пакетов имеют суффиксы (например, ~deb12u1), которые не влияют на номер основной версии Chromium.

Исправление​

Единственный надежный способ устранения уязвимости — обновление пакета chromium до версии, содержащей исправление от Google (153.0.8010.36 или выше).

На момент публикации статьи в Debian Security Tracker статус для всех релизов — «open», что означает, что исправление еще не было включено в официальные репозитории Debian. Пользователям рекомендуется:

• Следить за обновлениями в Debian Security Tracker.
  
• При появлении обновления в репозиториях выполнить:
  
  

  sudo apt update
  sudo apt upgrade chromium

• Для критических систем, где задержка обновления недопустима, рассмотрите возможность использования альтернативных браузеров, уже содержащих исправление, или изоляции рабочих станций от интернета до выхода патча.
  

Временные меры защиты​

Пока обновление не доступно в репозиториях Debian, можно применить следующие временные меры:

• Ограничение доступа к DevTools: Если возможно, отключите доступ к DevTools для обычных пользователей (например, через групповые политики или конфигурацию браузера), если это не нарушает рабочие процессы.
  
• Изоляция браузера: Используйте профили браузера с минимальными привилегиями. Отключите автоматическое выполнение JavaScript на недоверенных сайтах.
  
• Обучение пользователей: Предупредите пользователей о риске открытия подозрительных ссылок и файлов. Рекомендуется использовать браузеры, которые уже получили обновление (например, Google Chrome из официального репозитория, если он установлен отдельно от Chromium).
  
• Использование альтернативных браузеров: Если критично, временно используйте браузеры, не содержащие уязвимости, для работы с недоверенным контентом.
  

Как проверить устранение уязвимости​

После обновления пакета chromium убедитесь, что уязвимость устранена:

1. Проверьте версию пакета:
   
   

   dpkg-query -W -f='${Package} ${Version}\n' chromium

   
   Убедитесь, что версия соответствует или превышает 153.0.8010.36 (с учетом суффиксов Debian).
   
2. Проверьте, что обновление было применено из официального репозитория:
   
   

   apt-cache policy chromium

   
   Убедитесь, что версия в разделе «Installed» совпадает с версией в «Candidate» и что источник — официальный репозиторий Debian.
   
3. Перезапустите браузер и убедитесь, что он работает корректно.
   

Вывод​

CVE-2026-87448 представляет серьезную угрозу для пользователей Debian, использующих Chromium. Хотя публичные эксплойты пока не подтверждены, высокая оценка CVSS и возможность обхода песочницы делают уязвимость приоритетной для исправления.

Ключевая проблема для Debian — задержка в распространении патча. Пользователям необходимо активно следить за обновлениями в Debian Security Tracker и быть готовыми к быстрому обновлению, как только пакет станет доступен. В качестве временной меры рекомендуется ограничивать использование Chromium для работы с недоверенным контентом до выхода официального обновления.

Официальные источники​

1. NVD — CVE-2026-87448
   
2. Debian Security Tracker — CVE-2026-87448
   
3. FIRST EPSS — CVE-2026-87448
   

История обновлений статьи​

• 11.09.2026 — Опубликована первая версия материала.
  
• 13.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.