Расширения Chrome и Edge открывают путь к отказу в обслуживании через HTML-страницу

Уязвимость в компоненте расширений браузеров Google Chrome и Microsoft Edge позволяет удалённому злоумышленнику вызвать отказ в обслуживании. Инструментом служит специально подготовленная HTML-страница. Оценка по CVSS 3.1 - 9,8 из 10, по устаревшей CVSS 2.0 - 10. В Банке данных угроз безопасности информации (BDU) проблема числится под номером BDU:2026-17149, международный идентификатор - CVE-2026-87544. Уровень опасности в бюллетене определён как критический.

CVE-2026-87544 в расширениях Chrome и Edge

Причина сбоя - неправильная авторизация, она же CWE-863. Проверка прав внутри подсистемы расширений пропускает операции, которые должны блокироваться. Вектор CVSS 3.1 описывает атаку как сетевую, без предварительной аутентификации и без участия пользователя. Класс проблемы отнесён к уязвимостям архитектуры. Иными словами, ошибка сидит в логике взаимодействия компонентов, а не в отдельной функции.

Формальная оценка ставит высокий балл по всем трём составляющим: конфиденциальности, целостности и доступности. Текстовое описание при этом ограничивается отказом в обслуживании. Расхождение оставляет пространство для более широкой трактовки риска, хотя подтверждений выхода за рамки отказа в обслуживании нет.

Широта охвата объясняется устройством продуктов. Chrome и Edge делят общий движок, поэтому одна и та же ошибка в расширениях проявляется в обоих браузерах. Оба установлены на миллионах рабочих машин, включая корпоративный сегмент. Уязвимость выявлена 4 августа 2026 года и подтверждена производителем.

Исправленные версии Chrome и Edge

Обещанные сборки уже доступны. Для Google Chrome закрытыми считаются версии старше 153.0.8010.36 на Linux и Windows и старше 153.0.8010.37 на macOS. Microsoft Edge получает исправление с версии 153.0.4234.32. Проверить актуальность номера можно в самом браузере, в разделе сведений о сборке. Автоматическое обновление обычно подтягивает пакет само, однако при отключённых фоновых задачах установку придётся запустить вручную.

Пакеты Chromium в Debian и Astra Linux

Отдельная линия - операционные системы, которые поставляют собственный Chromium. В перечне уязвимого программного обеспечения значатся Debian GNU/Linux 12 и 13, а также Astra Linux Special Edition 1.7 и 1.8. Для Astra Linux пакет поднимают до версии 1:153.0.8010.36-0astragost3 в ветке 1.8 и до 1:153.0.8010.36-0astragost2 в ветке 1.7. Обе сборки опубликованы с бюллетенями производителя, где указан порядок установки. Пользователям Debian стоит сверяться с трекером безопасности дистрибутива: там отмечено состояние пакета по каждому релизу.

Пока обновление не установлено, разумно ограничить круг задач, которые выполняются в браузере. Достаточно держать переходы по незнакомым ссылкам под контролем и не совмещать работу с внутренними системами и открытие сторонних страниц в одном профиле. ФСТЭК России в такой ситуации отсылает администраторов к методическому документу по безопасной настройке Linux, утверждённому 25 декабря 2022 года, - он задаёт базовые ограничения для рабочих станций без свежих патчей.

История с расширениями показательна для текущего цикла обновлений. Ошибка авторизации в подсистеме, которая по определению получает доступ к страницам и данным пользователя, даёт эффект, несоразмерный аккуратности формулировок. Один переход на подготовленный сайт выбивает браузер из строя, а при неблагоприятном сценарии затрагивает больше, чем обещает краткое описание. Пренебрегать установкой сборок с номерами 153.0.8010.36 и 153.0.4234.32 не стоит: разрыв между формальной оценкой 9,8 и текстом бюллетеня закрывается именно обновлением.

CVE-2026-87544 в расширениях Chrome и Edge

Исправленные версии Chrome и Edge

Пакеты Chromium в Debian и Astra Linux

Ссылки