Библиотека ANGLE входит в состав браузеров Google Chrome и Microsoft Edge. Ошибка в её коде позволяет записать данные за пределами выделенного буфера памяти. Злоумышленник может вызвать сбой браузера, если пользователь откроет специально созданную HTML-страницу. Уязвимость затрагивает сборки Chrome для Windows, Linux и macOS, а также Microsoft Edge.
Запись за границами буфера в библиотеке ANGLE
Банк данных угроз безопасности информации (BDU) описал проблему под идентификатором BDU:2026-17897. Оценка там максимальная: 10 по второй версии CVSS и 9,6 по третьей. Аналитики CISA приводят ту же оценку 9,6 и относят уязвимость к критическому уровню. При этом о реальной эксплуатации сведений нет. Данные об эксплойте банк данных пока уточняет.
Атака идёт по сети и не требует учётных данных. Однако жертва должна сама открыть подготовленную страницу. Уязвимость затрагивает границы контекста безопасности, то есть выходит за пределы одного компонента браузера. Выход за границы буфера меняет соседние области памяти. В результате процесс может аварийно завершиться.
Особой подготовки для атаки не нужно. Достаточно разместить страницу на сайте или прислать ссылку в мессенджере. Хотя браузер изолирует чужой код, ошибка возникает в общей библиотеке. Поэтому сбой затрагивает весь процесс, а не одну вкладку.
Расхождение в оценках последствий
Формулировки источников расходятся. Банк данных говорит только об отказе в обслуживании. Запись CVE, которую подготовил сам вендор, допускает выполнение произвольного кода вне песочницы. Вторая формулировка тяжелее, зато опирается на ту же ошибку в коде. Пока ни один из сценариев не подтверждён практикой.
Для администратора разница принципиальна. Отказ в обслуживании стоит нескольких минут простоя. Выполнение кода вне песочницы означает доступ к данным пользователя. Поэтому патч стоит ставить без долгой паузы. Хотя срочность ниже, чем у уязвимостей с известными атаками.
Исправления для браузеров и дистрибутивов
Google выпустил Chrome 154.0.8037.57 для Linux и Windows. Также обновление вышло для macOS: актуальна сборка 154.0.8037.58. Microsoft закрыла проблему в Edge 154.0.4258.37. Кроме того, исправления получили Debian GNU/Linux и Red Hat Enterprise Linux. Владельцам Astra Linux Special Edition 1.7 нужен пакет chromium 1:154.0.8037.92-0astragost2 или более новый.
Производитель уже выпустил исправление и подтвердил статус уязвимости. Если обновление поставить нельзя, банк данных отсылает к рекомендациям ФСТЭК России по безопасной настройке Linux. В открытых источниках эксплойт не упоминается. Тем не менее отказ от патча оставляет браузер уязвимым к подготовленной странице.
Проверить версию просто. Номер сборки указан на странице настроек браузера. После обновления он должен быть не ниже исправленного. Если политика обновлений заморожена, стоит выпустить отдельное исключение для этого патча.
Затронутые системы
Список затронутых систем широк. В него попали Red Hat Enterprise Linux 7, 8 и 9, а также несколько выпусков Debian GNU/Linux. Отдельно указана Astra Linux Special Edition 1.7. Во всех случаях речь идёт о сборках на основе Chromium. Поэтому вендор дистрибутива готовит собственный пакет.
Пакеты для дистрибутивов выходят с задержкой. Сначала исправление получает Chromium, затем его переносят в репозитории. К тому времени публичная информация об ошибке уже доступна. Поэтому окно между раскрытием и патчем стоит закрывать правилами фильтрации.
Современный браузер обрабатывает почту, внутренние порталы и документы. Ошибка в графической библиотеке затрагивает всю сессию пользователя. Из-за этого обновление стоит проверить не только на рабочих станциях. Кроме того, браузер встречается на серверах с графической оболочкой.
Ссылки
- https://bdu.fstec.ru/vul/2026-17897
- https://nvd.nist.gov/vuln/detail/CVE-2026-95331
- https://security-tracker.debian.org/tracker/CVE-2026-95331
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-95331
- https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0856730748.html
- https://issues.chromium.org/issues/500127519
