CVE-2026-87474 в Debian: use-after-free в Chromium, уязвимые версии и защита

CVE: CVE-2026-87474
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,49%; процентиль 40,98%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В модуле Payments браузера Chromium обнаружена ошибка use-after-free (CWE-416). Эксплуатация через специально сформированную HTML-страницу позволяет удалённому злоумышленнику выполнить произвольный код за пределами песочницы браузера.

На момент публикации статьи в официальных репозиториях Debian (bookworm, trixie, forky, sid) исправленная версия пакета chromium отсутствует. Статус уязвимости во всех перечисленных релизах — open.

Основные характеристики​

Риск связан с нарушением целостности памяти в компоненте Payments Chromium. Успешная атака позволяет выйти из изоляции браузера и выполнить код с правами текущего пользователя.

• Тип ошибки: CWE-416 (Use After Free). Обращение к памяти после её освобождения.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокая оценка обусловлена сетевым вектором, отсутствием требований к правам и полным нарушением конфиденциальности, целостности и доступности.
  
• Условия атаки: Требуется взаимодействие пользователя (UI:R) — жертва должна открыть вредоносную страницу. Атака удалённая (AV:N) с низкой сложностью (AC:L).
  
• Эксплуатация: В каталоге CISA KEV подтверждений активной эксплуатации нет. Публичный эксплойт или PoC в открытых источниках не зафиксирован.
  
• EPSS: 0,49% (процентиль 40,98%). Модель указывает на низкий, но ненулевой риск эксплуатации в ближайшие 30 дней.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в Debian. Согласно Debian Security Tracker, исправленная версия в официальных репозиториях отсутствует для всех поддерживаемых релизов. Статус — open, приоритет — not yet assigned.

• Debian 12 (bookworm): Версии 150.0.7871.100-1~deb12u1 (bookworm) и 152.0.7977.82-1~deb12u1 (bookworm-security) уязвимы.
  
• Debian 13 (trixie): Версии 150.0.7871.181-1~deb13u1 (trixie) и 152.0.7977.82-1~deb13u1 (trixie-security) уязвимы.
  
• Debian forky: Версия 150.0.7871.181-1 уязвима.
  
• Debian sid (testing): Версия 152.0.7977.82-1 уязвима.
  

Все перечисленные сборки содержат уязвимость, так как их версии ниже 153.0.8010.36, в которой ошибка была устранена разработчиками Google.

Причина уязвимости​

Причина — ошибка use-after-free (CWE-416) в модуле Payments Chromium. Этот компонент отвечает за обработку платёжных данных и взаимодействие с соответствующими API.

Суть дефекта: код обращается к объекту в памяти после его освобождения (deallocation). В C++ это приводит к неопределённому поведению. Память, занимавшаяся освобождённым объектом, может быть заново выделена под другие данные или оставлена в неинициализированном состоянии.

Если атакующий контролирует содержимое этой памяти или влияет на процесс повторного выделения, он может подменить данные, на которые ссылается уязвимый указатель. Это позволяет изменить логику выполнения программы — например, переопределить виртуальные функции или данные, используемые для проверки безопасности, что в итоге приводит к выполнению произвольного кода.

Как работает атака​

Атака реализуется через специально сформированную HTML-страницу, содержащую JavaScript-код, эксплуатирующий ошибку в модуле Payments.

• Вектор: Удалённый (Network). Физический доступ к системе жертвы не требуется.
  
• Взаимодействие: Требуется (User Interaction: Required). Жертва должна открыть вредоносную страницу. Доставка возможна через фишинговую ссылку, рекламу или подмену содержимого сайта.
  
• Путь данных: Страница загружается в браузер. JavaScript вызывает функции модуля Payments. В процессе обработки возникает сценарий, при котором объект освобождается, но ссылка на него сохраняется. Последующее обращение к этой ссылке вызывает use-after-free.
  
• Выход из песочницы: Успешная эксплуатация позволяет обойти механизмы изоляции (sandbox) браузера. Это открывает доступ к системным API и позволяет выполнить произвольный код с правами текущего пользователя.
  

Условия успешной эксплуатации​

Для успешной эксплуатации необходимо соблюдение следующих условий:

• Уязвимая версия Chromium: Система должна использовать версию ниже 153.0.8010.36. В Debian это актуально для всех текущих релизов, так как исправление ещё не выпущено.
  
• Взаимодействие пользователя: Жертва должна открыть вредоносную HTML-страницу в браузере. Без этого действия атака не сработает.
  
• Отсутствие дополнительных защит: Если в системе настроены строгие политики, блокирующие JavaScript или ограничивающие доступ к модулю Payments, атака может быть затруднена. Стандартные конфигурации Debian не блокируют этот сценарий по умолчанию.
  
• Сетевой доступ: Злоумышленник должен иметь возможность доставить вредоносную страницу жертве (через интернет, локальную сеть или другие каналы).
  

Возможный сценарий атаки​

Типичный сценарий атаки включает следующие этапы:

• Подготовка: Злоумышленник создаёт HTML-страницу с JavaScript-кодом, эксплуатирующим use-after-free в модуле Payments. Страница размещается на вредоносном сайте или встраивается в фишинговое письмо.
  
• Доставка: Жертва получает ссылку (по электронной почте, в мессенджере) и открывает её в Chromium.
  
• Эксплуатация: При загрузке страницы JavaScript активирует уязвимость. Происходит обращение к освобождённой памяти, что позволяет атакующему контролировать выполнение программы.
  
• Выход из песочницы: Эксплойт обходит изоляцию браузера и получает доступ к системным ресурсам.
  
• Выполнение кода: Злоумышленник выполняет произвольный код (например, загружает вредоносную программу) с правами пользователя, от имени которого работает браузер. Это может привести к краже данных, установке бэкдора или перехвату управления системой.
  

Есть ли публичный эксплойт​

На момент публикации статьи публичный эксплойт или PoC для CVE-2026-87474 в открытых источниках не зафиксирован. В каталоге CISA KEV уязвимость не числится, что означает отсутствие подтверждений её активной эксплуатации в реальных атаках.

Наличие CVSS-оценки 9.6 и описание механики в официальных источниках Google позволяют предположить, что эксплойт может быть разработан злоумышленниками. Отсутствие публичного PoC не гарантирует безопасность: атакующие могут использовать уязвимость в целевых атаках, не публикуя код.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-87474 в открытых источниках не опубликованы. Однако можно использовать общие точки контроля, которые не являются специфичными для этой уязвимости, но помогают выявить подозрительную активность:

• Аномальное поведение браузера: Внезапные зависания, перезапуски или ошибки в Chromium, особенно после открытия неизвестных страниц.
  
• Неожиданные процессы: Запуск процессов с именами, не характерными для системы (например, curl, wget, bash), инициированных из-под браузера.
  
• Сетевая активность: Выходящие соединения на нестандартные порты или IP-адреса, не связанные с посещёнными сайтами.
  
• Изменения в файловой системе: Появление новых исполняемых файлов в каталогах пользователя или системных каталогах.
  

Эти признаки не являются доказательством эксплуатации CVE-2026-87474, но требуют дальнейшего расследования.

Как обнаружить атаку​

Для обнаружения атаки можно использовать следующие методы:

• Мониторинг логов браузера: Анализ логов Chromium (если они настроены) на предмет ошибок или аномальных вызовов API Payments.
  
• Сетевой мониторинг: Использование IDS/IPS (например, Suricata, Snort) для детектирования подозрительных исходящих соединений, инициированных процессом браузера.
  
• Мониторинг процессов: Инструменты вроде auditd или systemd-cgls для отслеживания создания новых процессов, особенно если они запускаются из-под браузера.
  
• Анализ файловой системы: Использование inotify или fanotify для отслеживания создания и модификации исполняемых файлов в каталогах пользователя.
  

Также рекомендуется регулярно проверять обновления безопасности в Debian и следить за анонсами Debian Security Tracker.

Как проверить свою версию​

Для проверки версии установленного пакета chromium в Debian используйте следующие команды:

# Проверка версии Debian
cat /etc/debian_version
cat /etc/os-release

# Проверка версии пакета chromium
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Если версия пакета ниже 153.0.8010.36, система уязвима. В текущих репозиториях Debian исправленная версия отсутствует, поэтому все установленные версии считаются уязвимыми.

Исправление​

Основной способ устранения — обновление пакета chromium до версии, содержащей исправление (153.0.8010.36 или выше). Однако на момент публикации статьи в официальных репозиториях Debian исправленная версия отсутствует.

• Ожидание обновления: Следите за анонсами Debian Security Tracker. Как только исправление будет выпущено, выполните обновление:
  
  

  sudo apt update
  sudo apt upgrade chromium

• Альтернативные браузеры: Если критично снизить риск, временно используйте другой браузер, не содержащий уязвимость (например, Firefox, если он доступен в вашей системе). Убедитесь, что его версия актуальна.
  
• Ограничение доступа: Ограничьте использование модуля Payments в Chromium, если это возможно через настройки или политики. Это не устранит уязвимость, но снизит вероятность её эксплуатации.
  

Временные меры защиты​

Пока исправление не выпущено в Debian, можно применить следующие временные меры:

• Отключение JavaScript: Временно отключите JavaScript в браузере для сайтов, которым вы не доверяете. Это затруднит эксплуатацию, но может нарушить работу многих сайтов.
  
• Использование песочницы: Запускайте браузер в изолированной среде (например, в контейнере или виртуальной машине), чтобы ограничить последствия успешной атаки.
  
• Ограничение доступа к сети: Настройте брандмауэр (например, ufw или iptables) для блокировки исходящих соединений от процесса браузера, если это допустимо для ваших задач.
  
• Регулярное резервное копирование: Убедитесь, что данные пользователя регулярно резервируются, чтобы минимизировать потери в случае компрометации.
  

Как проверить устранение уязвимости​

После обновления пакета chromium до исправленной версии выполните следующие шаги для проверки:

• Проверка версии:
  
  

  dpkg-query -W -f='${Package} ${Version}\n' chromium

  
  Убедитесь, что версия не ниже 153.0.8010.36.
  
• Проверка логов:
  Проверьте логи системы и браузера на предмет ошибок или аномальной активности после обновления.
  
• Функциональное тестирование:
  Убедитесь, что браузер работает корректно, а модуль Payments функционирует без ошибок.
  
• Мониторинг:
  Продолжайте мониторинг системы на предмет подозрительной активности, так как обновление не гарантирует защиту от других уязвимостей.
  

Вывод​

CVE-2026-87474 представляет серьёзный риск для пользователей Debian, использующих Chromium. Уязвимость позволяет удалённому злоумышленнику выполнить произвольный код за пределами песочницы через специально сформированную HTML-страницу. На момент публикации статьи исправление отсутствует в официальных репозиториях Debian, поэтому все версии Chromium в дистрибутиве считаются уязвимыми.

Рекомендуется следить за обновлениями Debian Security Tracker и готовиться к установке исправления, как только оно станет доступно. До этого момента следует применять временные меры: ограничение использования JavaScript, запуск браузера в изолированной среде, регулярное резервное копирование данных. Пользователям, для которых безопасность критична, стоит рассмотреть использование альтернативных браузеров, не содержащих эту уязвимость.

Официальные источники​

1. NVD — CVE-2026-87474
   
2. Debian Security Tracker — CVE-2026-87474
   
3. FIRST EPSS — CVE-2026-87474
   

История обновлений статьи​

• 13.09.2026 — Опубликована первая версия материала.