Состояние гонки в ядре Linux и чтение вне буфера в HTTP.sys открывают путь к выполнению кода и отказу в обслуживании

Модель Claude от Anthropic нашла уязвимости в Chrome, Safari, Android, Windows и Linux и построила для них рабочие эксплойты, то есть вредоносный код, использующий уязвимость. Для администраторов важны две находки в серверном программном обеспечении. В ядре Linux состояние гонки вместе с обращением к освобождённой памяти позволяет удалённо выполнить команды с правами root на серверах с сетевым слушателем. В Windows чтение за границами буфера в HTTP.sys даёт возможность вызвать отказ в обслуживании по сети, причём затронуты Windows 11 и Windows Server.

Ядро Linux, HTTP.sys, Chrome и Safari в отчёте Anthropic

Гонка в ядре Linux даёт команды с правами root

Уязвимость в ядре Linux возникает из состояния гонки, то есть ситуации, когда результат зависит от порядка выполнения параллельных операций. Ядро освобождает участок памяти, на который ещё ссылается обработчик входящего соединения. Следующий код работает с уже освобождёнными данными, такую ошибку называют использованием освобождённой памяти (use-after-free). Сначала эксплойт раскрывает адрес в памяти ядра, чтобы обойти рандомизацию адресного пространства (KASLR, защита от предсказуемого размещения кода). В тесте на это ушло 48 минут. Затем он подменяет адрес функции, которую ядро вызовет позже, и выполняет команду оболочки, на что требуется ещё около пяти минут.

Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Условие одно: на сервере работает сетевой слушатель с многопутевым TCP (Multipath TCP). Оценка CVSS - 9.8 из 10, уровень Critical. Неудачная попытка не роняет систему, поэтому число повторов не ограничено. Уязвимость известна как CVE-2026-98432.

Windows: чтение за границами буфера в HTTP.sys

HTTP.sys - драйвер Windows, который принимает и обрабатывает HTTP-запросы. Чтение за границами буфера означает, что драйвер забирает данные за пределами выделенного участка памяти. Неавторизованный атакующий вызывает отказ в обслуживании по сети: несколько пакетов приводят к аварийному завершению и перезапуску службы, которая отвечает на запросы HTTP/3. Оценка CVSS - 7.5 из 10, уровень High. Её привёл Microsoft, а Национальная база данных об уязвимостях (NVD) свою оценку пока не публиковала.

Уязвимы Windows 11 версий 23H2, 24H2, 25H2 и 26H1, а также Windows Server 2022 и Windows Server 2025, включая установки Server Core. Запись CVE-2026-33096 не называет исправленную сборку. Номер обновления нужно смотреть в руководстве Microsoft по безопасности.

Chrome, Safari и Android

Цепочка для Chrome проходит через несколько этапов. Сначала модель нашла ошибку в V8, движке JavaScript в Chrome, и повредила память. Затем обошла изоляцию памяти движка и рандомизацию адресного пространства. Дальше помогла гонка в механизме кеширования страниц и ошибка обращения к освобождённой памяти в FedCM (механизм федеративного входа). В результате код исполнялся вне песочницы браузера, то есть за пределами изолированной среды, где страница не должна влиять на систему. Google назначила 62 CVE и закрыла их в Chrome 156; часть исправлений устраняет выход из песочницы.

Цепочка для Safari позволяет любому сайту обойти политику одного источника, то есть правило, по которому скрипт с одной страницы не читает данные другой. Это открывает историю, файлы cookie и активные сессии, включая почту и банковские кабинеты. Произвольный код при этом не нужен: менялись флаг безопасности, размер объекта и адрес в памяти. Apple подтвердила отчёт в тот же день и выпустила исправление; номер версии не назван, его нужно искать в уведомлении Apple.

На Android модель извлекла фотографии и личные данные с заблокированного Google Pixel 9, соединив три уязвимости. Одна обходила блокировку передачи данных по USB, вторая - проверку авторизации при сопряжении, третья - проверку шестизначного кода. Резервный путь отправлял необработанные байты файлов по USB. Google исправила проблему; номер версии не назван.

Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Все находки переданы вендорам до публикации. Публичное раскрытие технических деталей не означает, что уязвимость уже используют.

Порядок обновления

Windows и серверы обновляют до сборок из руководства Microsoft. Ядро Linux обновляют до поддерживаемой стабильной ветки: по данным отчёта, исправление вошло во все такие ветки, но запись CVE-2026-98432 не называет исправленную версию. В ней же есть расхождение: часть диапазонов помечена как незатронутые при общем статусе "затронуто". До обновления записи точный номер нужно искать в самой записи CVE-2026-98432. Chrome обновляют до 156, для Safari ставят исправление Apple, владельцам Pixel 9 нужно проверить наличие обновления Android. Обходных мер ни один из вендоров не приводит.

Значимость находок различается. Linux-уязвимость не требует учётных данных, не зависит от действий пользователя, а неудачные попытки не дают заметного сбоя. Для HTTP.sys достаточно нескольких пакетов, поэтому обновление Windows важно поставить до появления публичных эксплойтов.