CVE-2026-87512 в Debian: уязвимость Chromium, статус исправлений и проверка версий

CVE: CVE-2026-87512
Продукт: Debian
Дата публикации: 09.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,49%; процентиль 40,98%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В компоненте ANGLE браузера Chromium обнаружена уязвимость типа Use After Free (CWE-416). Ошибка позволяет удалённому злоумышленнику выполнить произвольный код вне песочницы через специально сформированную HTML-страницу.

В дистрибутивах Debian статус уязвимости по пакету chromium на всех поддерживаемых релизах (bookworm, trixie, forky, sid) остаётся открытым. Официальные исправления для Debian на момент публикации статьи не выпущены.

Основные характеристики​

Риск связан с нарушением целостности памяти в графическом модуле браузера, что может привести к выполнению кода на уровне пользователя. Уязвимость классифицирована как критическая по шкале CVSS, однако вероятность её эксплуатации в реальных атаках на данный момент оценивается как низкая.

• Тип ошибки: CWE-416 (Use After Free). Ошибка возникает при обращении к памяти, которая уже была освобождена.
  
• CVSS-оценка: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокий балл обусловлен сетевым вектором атаки и полным нарушением конфиденциальности, целостности и доступности.
  
• Условия атаки: Требуется взаимодействие пользователя (UI:R). Злоумышленник не нуждается в предварительных правах (PR:N), но должен убедить жертву открыть вредоносную страницу.
  
• Факт эксплуатации: В каталоге CISA KEV уязвимость не подтверждена как активно эксплуатируемая.
  
• EPSS: 0,49% (процентиль 40,98%). Статистическая модель оценивает вероятность эксплуатации в ближайшие 30 дней как низкую.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в дистрибутивах Debian. Согласно данным Debian Security Tracker, статус уязвимости по всем перечисленным ниже релизам является «open» (открыт), а срочность исправления пока не назначена.

• Debian 12 (bookworm): Версии в репозиториях bookworm (150.0.7871.100-1~deb12u1) и bookworm-security (152.0.7977.82-1~deb12u1) уязвимы.
  
• Debian 13 (trixie): Версии в репозиториях trixie (150.0.7871.181-1~deb13u1) и trixie-security (152.0.7977.82-1~deb13u1) уязвимы.
  
• Debian forky: Версия в репозитории forky (150.0.7871.181-1) уязвима.
  
• Debian sid (unstable): Версия в репозитории sid (152.0.7977.82-1) уязвима.
  

Обратите внимание, что в описании CVE от Google Chrome указано, что проблема первоначально была обнаружена в Windows, однако в Debian она распространяется на пакет chromium, так как использует общий код ANGLE.

Причина уязвимости​

Причина уязвимости кроется в ошибке управления памятью в компоненте ANGLE (Almost Native Graphics Layer Engine), который используется Chromium для рендеринга графики. Конкретно речь идёт об ошибке типа Use After Free (CWE-416).

Эта ошибка возникает, когда программа продолжает использовать указатель на объект после того, как память, выделенная под этот объект, была освобождена. В контексте браузера это может произойти при обработке графических команд или данных, переданных из вредоносного веб-контента. Злоумышленник может контролировать содержимое освобождённой памяти, что позволяет ему изменить поведение программы и перехватить поток выполнения.

Как работает атака​

Атака реализуется через создание специально сформированной HTML-страницы, которая содержит код, вызывающий срабатывание ошибки Use After Free в модуле ANGLE. Когда пользователь открывает такую страницу в уязвимом браузере Chromium, браузер обрабатывает графические данные, что приводит к обращению к освобождённой памяти.

Поскольку ошибка находится в компоненте, который может работать вне песочницы браузера (sandbox), успешная эксплуатация позволяет злоумышленнику выполнить произвольный код в контексте процесса браузера. Это нарушает изоляцию и может привести к полному компрометированию сессии пользователя, включая кражу данных, установку вредоносного ПО или перехват управления браузером.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Взаимодействие пользователя: Злоумышленник должен убедить жертву открыть вредоносную веб-страницу или перейти по ссылке, ведущей на неё. Атака не может быть проведена полностью автоматически без участия пользователя.
  
• Уязвимая версия Chromium: Система должна использовать версию пакета chromium, в которой отсутствует исправление для CVE-2026-87512. На момент публикации статьи все версии в Debian-репозиториях остаются уязвимыми.
  
• Специфичный payload: Требуется точно выверенный набор данных, который спровоцирует срабатывание ошибки Use After Free в нужном месте кода ANGLE и позволит злоумышленнику контролировать выполнение.
  

Возможный сценарий атаки​

Типичный сценарий атаки начинается с рассылки фишинговых писем или сообщений в мессенджерах, содержащих ссылку на вредоносный сайт. Пользователь, получив сообщение, переходит по ссылке и открывает страницу в браузере Chromium.

В момент загрузки страницы браузер обрабатывает графические элементы, переданные в HTML. Специально сформированные данные вызывают срабатывание ошибки Use After Free в модуле ANGLE.

Злоумышленник, контролирующий содержимое освобождённой памяти, направляет выполнение кода на вредоносный payload. В результате вне песочницы браузера выполняется произвольный код, который может установить бэкдор, украсть пароли или скомпрометировать другие приложения, работающие от имени того же пользователя.

Есть ли публичный эксплойт​

На данный момент в открытых источниках нет подтверждённых сведений о публичном эксплойте или активном использовании CVE-2026-87512 в целевых атаках. Уязвимость не включена в каталог CISA KEV (Known Exploited Vulnerabilities).

Техническое описание ошибки доступно в баг-трекере Chromium, однако доступ к деталям может быть ограничен. Отсутствие публичного PoC (Proof of Concept) не гарантирует, что эксплойт не существует в закрытых базах данных или у конкретных групп атакующих. Тем не менее, низкий показатель EPSS (0,49%) указывает на то, что массовая эксплуатация в ближайшее время маловероятна.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-87512 в открытых источниках не опубликованы. Поэтому для обнаружения атаки следует использовать общие, неспецифичные методы контроля, которые применимы к любым атакам через браузер:

• Аномальная активность процессов: Появление новых процессов, запущенных от имени пользователя, которые не являются частью стандартного набора приложений.
  
• Сетевые соединения: Непредвиденные исходящие соединения из процесса браузера на подозрительные IP-адреса или домены.
  
• Изменения в файловой системе: Создание новых файлов в каталогах конфигурации браузера или в системных каталогах, которые не должны быть модифицированы браузером.
  
• Журналы браузера: Записи о загрузке подозрительных страниц или расширений, которые пользователь не устанавливал.
  

Как обнаружить атаку​

Для обнаружения признаков эксплуатации уязвимости рекомендуется использовать следующие методы:

• Мониторинг процессов: Используйте инструменты вроде ps или top для отслеживания аномальных процессов, запущенных от имени пользователя, особенно если они связаны с браузером.
  
• Анализ сетевых логов: Проверяйте журналы файрвола и сетевые логи на предмет исходящих соединений, инициированных процессом Chromium, на нестандартные порты или IP-адреса.
  
• Сканирование файлов: Используйте антивирусные решения для проверки файлов, созданных или модифицированных браузером, на наличие вредоносного кода.
  
• Журналы аудита: Если включён аудит (например, через auditd), анализируйте записи на предмет подозрительных операций с файлами или сетевыми сокетами, связанных с процессом браузера.
  

Как проверить свою версию​

Для проверки версии установленного пакета chromium и статуса системы используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии дистрибутива Debian
cat /etc/debian_version
cat /etc/os-release

# Проверка версии установленного пакета chromium
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Сравните полученную версию с версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия совпадает с одной из уязвимых, система требует внимания. Обратите внимание, что в Debian статус уязвимости по всем релизам является «open», что означает, что исправление ещё не выпущено.

Исправление​

На момент публикации статьи официальные исправления для CVE-2026-87512 в дистрибутивах Debian ещё не выпущены. Статус уязвимости по всем поддерживаемым релизам (bookworm, trixie, forky, sid) является «open».

Рекомендуемые действия:

• Отслеживание обновлений: Регулярно проверяйте Debian Security Tracker на наличие новых статусов и выпусков исправлений.
  
• Подготовка к обновлению: Убедитесь, что ваша система настроена для автоматического получения обновлений безопасности, чтобы как только исправление будет выпущено, оно могло быть установлено без задержек.
  
• Резервное копирование: Перед установкой будущих обновлений рекомендуется сделать резервные копии важных данных, так как обновления браузеров могут иногда приводить к несовместимостям с расширениями или настройками.
  

Временные меры защиты​

Пока официальное исправление не выпущено, можно принять следующие временные меры для снижения риска:

• Ограничение доступа к веб-контенту: Избегайте открытия ссылок из недоверенных источников, особенно если они ведут на страницы с интенсивной графической обработкой.
  
• Использование альтернативных браузеров: Если возможно, временно используйте другой браузер, не содержащий уязвимого компонента ANGLE, для работы с недоверенным контентом.
  
• Усиление песочницы: Убедитесь, что настройки безопасности браузера максимально строгие, включая отключение автоматического запуска плагинов и ограничение прав для расширений.
  
• Мониторинг активности: Усиленный мониторинг процессов и сетевой активности, как описано в разделе «Обнаружение», поможет быстро выявить признаки атаки.
  

Как проверить устранение уязвимости​

После выпуска официального исправления и его установки на систему необходимо проверить, что уязвимость устранена:

1. Проверка версии пакета: Используйте команду dpkg-query -W -f='${Package} ${Version}\n' chromium для подтверждения, что установлена версия, содержащая исправление.
   
2. Проверка статуса в Debian Security Tracker: Убедитесь, что статус уязвимости для вашего релиза изменился с «open» на «fixed» или «resolved».
   
3. Функциональное тестирование: Проведите базовое тестирование браузера, чтобы убедиться, что графические функции работают корректно и не вызывают ошибок.
   
4. Повторное сканирование: Если возможно, используйте инструменты сканирования уязвимостей для подтверждения, что CVE-2026-87512 больше не обнаруживается на системе.
   

Вывод​

CVE-2026-87512 представляет собой серьёзную уязвимость в компоненте ANGLE браузера Chromium, которая может привести к выполнению произвольного кода. Несмотря на высокий балл CVSS, на данный момент нет подтверждений активной эксплуатации, а исправления для Debian ещё не выпущены.

Администраторам и пользователям Debian следует внимательно следить за обновлениями безопасности, готовиться к установке патча и применять временные меры защиты, пока официальное исправление не станет доступно. Регулярная проверка версий пакетов и мониторинг аномальной активности помогут минимизировать риск компрометации.

Официальные источники​

1. NVD — CVE-2026-87512
   
2. Debian Security Tracker — CVE-2026-87512
   
3. FIRST EPSS — CVE-2026-87512
   

История обновлений статьи​

• 11.09.2026 — Опубликована первая версия материала.
  
• 13.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.