Две уязвимости библиотеки ANGLE, которая входит в состав Google Chrome и Microsoft Edge, позволяют удалённому злоумышленнику вызвать отказ в обслуживании. Для этого нужна специально созданная HTML-страница, которую открывает пользователь. Уязвимости затрагивают браузеры до определённых версий, а также пакеты Chromium в Red Hat Enterprise Linux, Debian GNU/Linux и Astra Linux Special Edition. Обе уязвимости получили критический уровень опасности с оценкой 9,6 по CVSS 3.1.
Уязвимости ANGLE в браузерах и Linux-пакетах
Банк данных угроз безопасности информации (BDU) описывает их под номерами BDU:2026-17898 и BDU:2026-17900. Обе уязвимости подтверждены производителем, а дата выявления - 19 июля 2026 года. Данных об эксплойте в BDU пока нет: статус наличия эксплойта уточняется. Для браузеров и Linux-систем это означает один и тот же риск: вредоносная страница может нарушить работу браузера.
Оценка CVSS 3.1 у обеих проблем одинаковая - 9,6. Версия CVSS 2.0 даёт 10 баллов. Вектор CVSS 4.0 в BDU не задан. Высокий балл отражает потенциальный масштаб, хотя текстовое описание BDU говорит только об отказе в обслуживании.
Использование памяти после освобождения
Первая уязвимость, CVE-2026-95325, относится к классу использования памяти после освобождения. Программа освобождает участок памяти, но позже снова к нему обращается. Такой сбой открывает путь к отказу в обслуживании: браузер может закрыться или перестать отвечать на действия пользователя. Злоумышленник действует удалённо, ему не нужен доступ к устройству. Достаточно, чтобы пользователь открыл подготовленную HTML-страницу. В BDU проблему связали с манипулированием структурами данных.
Недостаточная проверка вводимых данных
Вторая уязвимость, CVE-2026-91738, вызвана недостаточной проверкой вводимых данных. Браузер принимает данные без должной проверки, поэтому специально собранная страница приводит к отказу в обслуживании. Сценарий тот же: удалённая атака через HTML-страницу, без предварительного доступа к системе. В BDU способ эксплуатации описан как манипулирование ресурсами. В текстовом описании BDU указан отказ в обслуживании; другие последствия не детализированы.
Платформы и исправления
Уязвимый код присутствует в Chrome до версий 154.0.8037.57 на Linux и Windows и до 154.0.8037.58 на macOS для первой проблемы. Вторая затрагивает Chrome до 153.0.8010.47 на Windows и Linux и до 153.0.8010.48 на macOS. Microsoft Edge уязвим до 154.0.4258.37 для первой проблемы и до 153.0.4234.46 для второй. В Linux-системах риск связан с пакетами Chromium: в списке значатся Red Hat Enterprise Linux 7, 8 и 9, Debian GNU/Linux с 9 по 13 и Astra Linux Special Edition 1.7. Для Astra Linux исправление доступно в пакете chromium версии 1:154.0.8037.92-0astragost2 или выше.
Что сделать администраторам
Пользователям Chrome и Edge нужно установить актуальную сборку браузера. Номер версии стоит сверить с бюллетенями Google и Microsoft: в них указаны границы уязвимых выпусков. Администраторам Astra Linux следует обновить пакет chromium до 1:154.0.8037.92-0astragost2 или более новой версии. В Debian и Red Hat проверьте трекеры безопасности CVE-2026-95325 и CVE-2026-91738 и установите предложенные пакеты. Если для конкретной сборки обновление ещё не вышло, BDU отсылает к рекомендациям ФСТЭК России по безопасной настройке Linux.
Общая библиотека ANGLE усиливает эффект обеих проблем. Один и тот же компонент используют разные браузеры, а Linux-дистрибутивы поставляют Chromium в своих репозиториях. Поэтому обновление только на компьютере пользователя не закрывает риск для парка устройств. Администраторам нужно синхронизировать браузеры и системные пакеты. Пока данные об эксплуатации в BDU уточняются, но исправления уже доступны. Перенос установки оставляет браузер уязвимым, а обновление снижает риск отказа в обслуживании.
Ссылки
- https://bdu.fstec.ru/vul/2026-17898
- https://bdu.fstec.ru/vul/2026-17900
- https://www.cve.org/CVERecord?id=CVE-2026-95325
- https://www.cve.org/CVERecord?id=CVE-2026-91738
- https://nvd.nist.gov/vuln/detail/CVE-2026-95325
- https://security-tracker.debian.org/tracker/CVE-2026-95325
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-95325
- https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0856730748.html
- https://issues.chromium.org/issues/536648933
- https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-1014SE17HF
- https://access.redhat.com/security/cve/CVE-2026-95325
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-95325
- https://nvd.nist.gov/vuln/detail/CVE-2026-91738
- https://security-tracker.debian.org/tracker/CVE-2026-91738
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-91738
- https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0541751186.html
- https://issues.chromium.org/issues/536450979
- https://access.redhat.com/security/cve/CVE-2026-91738
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-91738
