Команда разработчиков X.Org опубликовала экстренный бюллетень безопасности, описывающий 8 уязвимостей в X-сервере и его Wayland-совместимой реализации Xwayland. Все обнаруженные ошибки устранены в версиях xorg-server 21.1.26 и xwayland 24.1.15, которые уже доступны для загрузки в официальных репозиториях.
Наиболее опасной признана уязвимость CVE-2026-109091, связанная с записью за границы выделенной памяти при обработке дескрипторов EDID. Злоумышленник может передать специально сформированные данные монитора, которые перезаписывают поля смежных структур, что приводит к аварийному завершению работы графики на операционной системе Linux. Ошибка обнаружена исследователем безопасности под псевдонимом Eun0us из команды Espilon.
Еще одна серьезная брешь CVE-2026-109092 обнаружена в функции ProcXvShmPutImage при работе с разделяемой памятью. Неправильная проверка арифметики с отрицательными значениями позволяет обойти контроль границ и передать недопустимый указатель на изображение, открывая возможность несанкционированного чтения или записи в память X-сервера.
Три уязвимости, обнаруженные исследователем Acts1631, затрагивают различные компоненты системы. CVE-2026-109093 связана с переполнением стекового массива валидаторов при обработке событий ввода. CVE-2026-109904 касается переполнения при умножении обработчика запросов на 32-битных системах. CVE-2026-109095 описывает целочисленное переполнение при вычислении размеров изображений NV12 и YV12 в модуле glamor.
Оставшиеся четыре проблемы обнаружил специалист Тристан Мадани (Tristan Madani) из компании Talence Security. Они затрагивают различные механизмы обработки графических данных и запросов ресурсов. Ошибки позволяли обходить проверки безопасности и вызывать нестабильную работу системы.
Для обычных пользователей эти уязвимости означают потенциальный риск при использовании Linux-систем. Графический сервер является фундаментальным компонентом операционной системы, и его компрометация может привести к потере данных, краже конфиденциальной информации или даже полного контроля над компьютером. Особенно уязвимы корпоративные системы, где графические приложения часто используются для удаленного администрирования.
Данное обновление продолжает серию экстренных исправлений в 2026 году. В начале октября уже были закрыты 12 других критических уязвимостей. Пользователям Linux рекомендуется немедленно установить доступные обновления через стандартные инструменты обновления системы. Для большинства дистрибутивов это можно сделать командой обновления пакетов в терминале или через графический менеджер обновлений.
