CVE-2026-87464 в Debian: критический use-after-free в Chromium и статус исправлений

CVE: CVE-2026-87464
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,59%; процентиль 46,22%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Уязвимость CVE-2026-87464 позволяет удалённому злоумышленнику выполнить произвольный код за пределами песочницы браузера через специально сформированную HTML-страницу. Ошибка связана с нарушением правил управления памятью (use-after-free) в модуле WebGL.

В дистрибутиве Debian пакет chromium во всех поддерживаемых релизах на момент публикации данных содержит уязвимые версии, а официальные исправления ещё не выпущены. Статья разбирает механику атаки, текущий статус безопасности в Debian и необходимые действия для администраторов.

Основные характеристики​

Риск представляет собой критическую угрозу для систем, где браузер используется для просмотра не доверенного контента. Злоумышленник может выйти из изолированного окружения браузера и получить полный контроль над системой пользователя.

• Тип ошибки: CWE-416 (Use After Free). Ссылка на освобождённую память приводит к непредсказуемому поведению программы.
  
• CVSS: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокая оценка обусловлена удалённым доступом и полным компрометированием конфиденциальности, целостности и доступности.
  
• Эксплуатация: Требует взаимодействия пользователя (открытия вредоносной страницы). Не требует предварительных прав.
  
• EPSS: 0,59% (процентиль 46,22%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  
• Статус в Debian: Все релизы (bookworm, trixie, forky, sid) имеют статус open. Исправлений в репозиториях пока нет.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает компонент WebGL в браузере Google Chrome и его форк Chromium, распространяемый в Debian.

Согласно данным Debian Security Tracker, пакет chromium уязвим в следующих версиях, установленных в репозиториях:

• bookworm: 150.0.7871.100-1~deb12u1 (основной), 152.0.7977.82-1~deb12u1 (security).
  
• trixie: 150.0.7871.181-1~deb13u1 (основной), 152.0.7977.82-1~deb13u1 (security).
  
• forky: 150.0.7871.181-1.
  
• sid (unstable): 152.0.7977.82-1.
  

Все перечисленные версии ниже пороговой 153.0.8010.36, в которой ошибка устранена разработчиками Chromium. В Debian статус всех релизов остаётся open, что означает отсутствие исправленных пакетов в официальных репозиториях на текущий момент.

Причина уязвимости​

Причина уязвимости кроется в нарушении жизненного цикла объектов в коде, отвечающем за рендеринг WebGL. Ошибка типа Use After Free возникает, когда программа обращается к памяти, которая уже была освобождена (free) или переназначена под другие данные.

В контексте WebGL это может происходить при обработке сложных графических команд или при завершении работы с ресурсами GPU. Если указатель на объект не обнуляется после освобождения памяти, а затем используется повторно, злоумышленник может контролировать содержимое этой памяти. Это позволяет изменить поведение программы, например, переписать указатели функций или данные, используемые для принятия решений о безопасности.

Как работает атака​

Атака реализуется через специально сформированную HTML-страницу. Пользователь должен открыть эту страницу в уязвимом браузере. Страница содержит JavaScript-код, который взаимодействует с WebGL API.

Механизм атаки включает следующие этапы:

1. Инициализация WebGL-контекста и создание объектов, которые будут освобождены в определённый момент.
   
2. Злоумышленник управляет выделением памяти, чтобы в освободившийся блок попала контролируемая им структура данных (heap spray).
   
3. При повторном обращении к «свешенному» указателю браузер обрабатывает данные злоумышленника как валидные.
   
4. Это приводит к выполнению произвольного кода в контексте процесса браузера, но за пределами песочницы (sandbox). Выход из песочницы означает, что код получает доступ к файловой системе, сети и другим процессам пользователя.
   

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Уязвимая версия браузера: Система должна использовать версию Chromium, меньшую 153.0.8010.36.
  
• Взаимодействие пользователя: Злоумышленник не может атаковать пассивно. Пользователь должен открыть вредоносную веб-страницу. Это может быть сделано через фишинговую ссылку, рекламу или редирект с доверенного сайта.
  
• Поддержка WebGL: Браузер должен иметь активный и работающий модуль WebGL. Если WebGL отключён, атака через этот вектор невозможна.
  
• Отсутствие дополнительных защит: Стандартные механизмы изоляции браузера (sandbox) должны быть обойдены. Успешный выход из песочницы зависит от конкретных реализаций и настроек системы.
  

Возможный сценарий атаки​

Типичный сценарий начинается с рассылки фишинговых писем или размещения вредоносной рекламы. Жертва переходит по ссылке и открывает страницу в браузере.

Страница загружает JavaScript, который инициализирует WebGL-контекст. Код начинает манипулировать памятью, создавая и удаляя графические объекты. В определённый момент происходит освобождение памяти, но указатель на неё сохраняется.

Злоумышленник заполняет этот участок памяти вредоносным кодом или данными, которые изменяют логику работы браузера. Когда браузер обращается к этому указателю, он выполняет инструкции атакующего.

Код выходит из изолированного пространства браузера и получает права текущего пользователя. Далее злоумышленник может установить вредоносное ПО, украсть данные или использовать систему для атак на другие узлы сети.

Есть ли публичный эксплойт​

На момент публикации данных публичный эксплойт в виде готового кода или PoC (Proof of Concept) в открытых источниках не зафиксирован. Однако наличие ссылки на Chromium issue tracker и ревью кода в Chromium Review указывает на то, что техническое описание и патч доступны разработчикам.

Отсутствие публичного PoC не означает, что эксплойт не существует. Учитывая критическую оценку CVSS и характер ошибки (use-after-free в WebGL), вероятность разработки эксплойта высока. Злоумышленники могут использовать эту уязвимость в целевых атаках, не публикуя код публично.

Признаки эксплуатации​

Специфических индикаторов компрометации (IOC) именно для CVE-2026-87464 в открытых источниках не опубликовано. Однако можно использовать общие признаки атаки на браузер:

• Аномальная активность процесса браузера: Высокое использование CPU или памяти процессом chromium или chrome без видимой нагрузки.
  
• Создание новых процессов: Запуск неизвестных исполняемых файлов из каталога браузера или временных директорий.
  
• Сетевые соединения: Установление исходящих соединений с IP-адресами, не связанными с посещаемыми сайтами, особенно на нестандартных портах.
  
• Изменение файлов: Появление новых файлов в профилях пользователя или системных директориях, созданных процессом браузера.
  

Эти признаки неспецифичны и могут указывать на другие атаки, но требуют проверки при подозрении на эксплуатацию данной уязвимости.

Как обнаружить атаку​

Для обнаружения атаки рекомендуется использовать следующие методы:

• Мониторинг процессов: Настройка алертов на запуск процессов, родительским процессом которых является браузер, особенно если эти процессы не являются стандартными компонентами Chromium.
  
• Анализ сетевых журналов: Фильтрация исходящего трафика от процессов браузера. Искать соединения с новыми или подозрительными IP-адресами.
  
• Проверка целостности файлов: Использование инструментов типа AIDE или Tripwire для контроля изменений в каталогах установки браузера и профилях пользователей.
  
• Журналы браузера: Анализ логов Chromium (если они включены) на предмет ошибок WebGL или аномальных сбоев, которые могут указывать на попытку эксплуатации.
  

Важно помнить, что успешная атака может быть скрыта от стандартных средств мониторинга, поэтому комбинация методов повышает эффективность обнаружения.

Как проверить свою версию​

Для проверки текущей версии пакета chromium в Debian используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии установленной системы
cat /etc/debian_version
cat /etc/os-release

# Проверка версии пакета chromium в системе
dpkg-query -W -f='${Package} ${Version}\n' chromium

# Проверка доступных версий в репозиториях
apt-cache policy chromium

Сравните полученную версию с версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия меньше 153.0.8010.36, система уязвима. Обратите внимание, что в Debian версии пакетов имеют суффиксы (например, ~deb12u1), которые не влияют на сравнение основных номеров версий Chromium.

Исправление​

На текущий момент официальных исправлений в репозиториях Debian для всех релизов (bookworm, trixie, forky, sid) не выпущено. Статус уязвимости в Debian Security Tracker — open.

Рекомендуемые действия:

• Ожидание обновления: Следите за анонсами в Debian Security Tracker. Как только пакет chromium будет обновлён до версии, содержащей исправление (не ниже 153.0.8010.36), выполните обновление.
  
• Ручное обновление (для продвинутых пользователей): Если вы используете sid или forky, можно попробовать установить более новую версию из upstream, но это может нарушить стабильность системы. Рекомендуется дождаться официального пакета от Debian.
  
• Альтернативные браузеры: Если критически важно снизить риск, временно используйте другой браузер, не содержащий данной уязвимости, для просмотра не доверенного контента.
  

После выпуска исправления выполните:

sudo apt update
sudo apt upgrade chromium

Затем перезапустите браузер.

Временные меры защиты​

Пока исправление не выпущено, можно применить следующие временные меры для снижения риска:

• Отключение WebGL: В настройках Chromium можно отключить WebGL. Это сделает невозможной атаку через данный вектор, но ограничит функциональность сайтов, использующих 3D-графику.
  
  • Перейдите в chrome://settings/system и отключите «Ускорение аппаратное» или используйте флаг chrome://flags/#enable-webgl (отключите).
    
• Использование режима инкогнито: Хотя это не защищает от атаки, режим инкогнита ограничивает сохранение данных и может затруднить отслеживание.
  
• Ограничение доступа к не доверенным сайтам: Избегайте открытия ссылок из ненадёжных источников. Используйте расширения для блокировки рекламы и скриптов.
  
• Запуск браузера в контейнере: Если возможно, запускайте Chromium в изолированной среде (например, в Docker или LXC), чтобы ограничить доступ к основной системе.
  

Эти меры не устраняют уязвимость, но повышают порог входа для злоумышленника.

Как проверить устранение уязвимости​

После установки обновлённого пакета chromium выполните следующие шаги для проверки:

1. Проверка версии:
   
   

   dpkg-query -W -f='${Package} ${Version}\n' chromium

   
   Убедитесь, что версия содержит номер 153.0.8010.36 или выше.
   
2. Проверка логов:
   Проверьте логи системы (/var/log/syslog или journalctl) на наличие ошибок, связанных с обновлением пакета.
   
3. Функциональная проверка:
   Откройте страницу, использующую WebGL (например, демо на сайте разработчиков), и убедитесь, что графика работает корректно. Если WebGL отключён, убедитесь, что это сделано намеренно.
   
4. Мониторинг:
   В течение нескольких дней после обновления наблюдайте за поведением браузера и системой. Если наблюдаются сбои или подозрительная активность, обратитесь к документации Debian или сообществу.
   

Если версия не обновилась, проверьте источники в /etc/apt/sources.list и убедитесь, что репозиторий security включён.

Вывод​

CVE-2026-87464 представляет собой критическую угрозу для пользователей Debian, использующих браузер Chromium. Уязвимость позволяет выйти из песочницы браузера и выполнить произвольный код. На текущий момент исправления в официальных репозиториях Debian отсутствуют, что требует от администраторов принятия временных мер для снижения риска.

Рекомендуется:

• Следить за обновлениями в Debian Security Tracker.
  
• Применить временные меры (отключение WebGL, ограничение доступа к не доверенным сайтам).
  
• Готовиться к быстрой установке обновления, как только оно станет доступным.
  

После выпуска исправления обязательно обновите пакет chromium и проверьте его работоспособность. Не игнорируйте критические уязвимости, даже если публичный эксплойт пока не обнаружен.

Официальные источники​

1. NVD — CVE-2026-87464
   
2. Debian Security Tracker — CVE-2026-87464
   
3. FIRST EPSS — CVE-2026-87464
   

История обновлений статьи​

• 12.09.2026 — Опубликована первая версия материала.
  
• 13.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.