Ошибка в компоненте Mobile браузеров Google Chrome и Microsoft Edge получила идентификатор CVE-2026-87595 и оценку 9,8 по CVSS 3.1. Уязвимость относится к классу "серверная фальсификация запросов": программа принимает от внешнего источника адрес, по которому затем обращается, и проверяет его недостаточно тщательно. Удалённому злоумышленнику достаточно специально собранной HTML-страницы, чтобы вызвать отказ в обслуживании. Затронуты сами браузеры, а также пакеты chromium в Debian GNU/Linux и Astra Linux Special Edition.
CVE-2026-87595 в Chrome, Edge, Astra Linux и Debian
Отказ в обслуживании без участия пользователя
Запись в Банке данных угроз безопасности информации (BDU) содержит номер BDU:2026-17611. Уязвимость выявили 16 мая 2026 года, производитель её подтвердил. Ни учётная запись, ни действия пользователя для эксплуатации не нужны: в векторе CVSS 3.1 параметры привилегий и взаимодействия с интерфейсом помечены как отсутствующие. Атака идёт по сети, сложность низкая. Вектор при этом предусматривает высокое влияние на конфиденциальность, целостность и доступность, хотя описанный сценарий ограничен отказом в обслуживании. Последствия за пределами этого сценария в бюллетене не раскрыты. Сведений о реальных атаках нет, наличие готового эксплойта уточняется.
Компонент Mobile относится к мобильной части кодовой базы Chromium. Бюллетень не уточняет, какие именно функции задействует атакующий и что конкретно перестаёт отвечать: сам браузер, его сетевой обмен или обработка страницы. Оценка 2.0 в этом же описании равна 10, оценка 3.1 - 9,8. Расхождение между заявленным влиянием на конфиденциальность и целостность данных и фактически описанным отказом в обслуживании встречается в бюллетенях регулярно: рейтинг считают по худшему из теоретически возможных исходов.
Исправления для Chrome и Edge
Google закрыл проблему в сборках 153.0.8010.36 для Linux и Windows и 153.0.8010.37 для macOS. Microsoft исправил Edge в версии 153.0.4234.32. Оба браузера построены на общей кодовой базе Chromium, поэтому правка приходит к ним из одного источника. Пользователям macOS стоит учитывать отдельный номер сборки: автоматическое обновление подставит его само, а вот ручная установка пакета с чужой платформы ничего не даст.
Пакеты chromium в Astra Linux и Debian
В Astra Linux Special Edition обновление приходит с пакетом chromium. Для версии 1.8 нужна сборка 1:153.0.8010.36-0astragost3 или более новая, для версии 1.7 - 1:153.0.8010.36-0astragost2. Номера различаются, и это важно при централизованном обновлении парка машин: единый шаблон на обе версии операционной системы не сработает. Debian GNU/Linux 12 и 13 отмечены как уязвимые; актуальный статус пакета и номер версии с исправлением публикует трекер безопасности проекта.
Обновление браузеров и пакета chromium
Владельцам настольных систем достаточно поставить свежие сборки Chrome или Edge и перезапустить браузер, иначе старая версия останется в памяти до закрытия всех окон. Администраторам Astra Linux нужно обновить пакет chromium до указанных сборок для своей версии системы. В Debian версию с исправлением сверяют по трекеру безопасности. Если обновление запаздывает, ФСТЭК России советует придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX" от 25 декабря 2022 года.
Цепочка исправлений здесь длиннее обычного: сначала правка появляется в Chromium, затем её получает Edge, и только потом обновляются пакеты в дистрибутивах Linux. Разрыв между этими шагами и создаёт промежуток, в котором уязвимость с рейтингом 9,8 остаётся рабочей при установленном браузере. Для отказa в обслуживании, который не требует ни пароля, ни клика по ссылке в письме, такого промежутка достаточно.
Ссылки
- https://bdu.fstec.ru/vul/2026-17611
- https://www.cve.org/CVERecord?id=CVE-2026-87595
- https://nvd.nist.gov/vuln/detail/CVE-2026-87595
- https://security-tracker.debian.org/tracker/CVE-2026-87595
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-87595
- https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_0808145027.html
- https://issues.chromium.org/issues/513726466
- https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0924SE18HF
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-87595
- https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-1002SE17HF
