سلسلة أيام صفرية لـ«فجوة التصحيح» — ثغرات أُصلحت في Chromium ولم تُصحَّح بعد في Chrome اشتركت فيها مجموعات تجسّس متعددة خلال 1 أسبوع
تبيّن من رصد Volexity أن سلسلة هجوم BlueMoon، التي سلسلت الخروج من صندوق رمل V8 في Chrome وإساءة استخدام ALPC في Windows، كانت مشتركة بين عدة عناقيد صينية المنشأ على الأقل. نرتّب خطورة «فجوة التصحيح» التي دخل فيها إصلاح إلى Chromium ولم ينعكس بعد في Chrome المستقر.
تُرجمت هذه المقالة آليًا.
في 15 سبتمبر 2026، أفادت Volexity بأن عنقود تهديد يُوصف بأنه صيني المنشأ (UTA0560) استخدم، في هجوم بريد موجَّه استهدف عدة منظمات غير حكومية في 1 سبتمبر، سلسلة هجوم (تسمّى BlueMoon) تسلسل ثغرات Google Chrome وMicrosoft Windows. استغلت الروابط داخل البريد XSS انعكاسيًا على موقع جامعة أمريكية للتوجيه إلى بنية يديرها المهاجم، حيث تُنشر ثغرة استغلال من 3 مراحل. يُكتسب بـ CVE-2026-85046 قراءة وكتابة اعتباطيتان داخل صندوق رمل V8، ويُخرج بـ CVE-2026-87491 من صندوق رمل المتصفح، وأخيرًا يُساء بـ CVE-2026-85880 استخدام Advanced Local Procedure Call (ALPC) في Windows للوصول إلى حقن رمز في عملية Chrome وتنفيذ رمز اعتباطي. وتشير Volexity أيضًا إلى أن المهاجمين كانوا يصفّون لاستبعاد ما عدا Chrome على Windows (حسب تغطية Volexity / The Hacker News).
تحليل (منفصل عن الوقائع): ما يُلفت هو «اشتراك» سلسلة الاستغلال نفسها. في رصد Volexity، في حدود الوقت الذي نشر فيه UTA0560 بابًا خلفيًا من نوع JavaScript اسمه GRIMWEDGE (موطئ قدم أولي ذو قدرة متوسطة يتلقى الأوامر بـ eval من C2)، نشر JungleBamboo (APT31) أيضًا المحمّل SUPERSTOMP بالسلسلة نفسها، وأدخل في النهاية إضافة Chrome لسرقة المعلومات اسمها LONGTALE تنكّرت في هيئة إضافة Google Gemini شرعية. وتفيد عناوين الإعلام بأن «4 مجموعات تجسّس استخدمت العدة نفسها في 1 أسبوع» (The Hacker News)، ويُلمح إلى احتمال أن مطوّرًا أعاد بناء ثغرة الاستغلال من فروق مصدر Chromium وقدّمها إلى عناقيد متعددة. وبنية يدور فيها الاستغلال كـ«منتج» تعني أن تعميم سطح الهجوم سريع.
النقطة الأشد إثارة للاهتمام تقنيًا هي فجوة التصحيح. إصلاح الثغرات الـ2 في Chrome (CVE-2026-85046 / CVE-2026-87491) كان قد أُودع مسبقًا في الشيفرة مفتوحة المصدر لـ Chromium، لكنه لم يكن مشمولًا بعد في إصدار Chrome المستقر. في البرمجيات التي تاريخ إيداعها علني يلازمها دائمًا خطر إعادة بناء رمز الهجوم من فرق الإصلاح، لكن هذه الحالة مثال على استخدام حالة في هجوم فعلي تختلف عن N-day العادي وعن اليوم الصفري معًا، وهي «مُصلح في المنبع وغير مُصلح في المصب». وأن دورة الإصدار الرئيسي لـ Chrome ظلّت 4 أسابيع حتى وقت قريب (وهي الآن 2 أسابيع) يمكن اعتباره أيضًا أحد العوامل التي يسّرت على المهاجمين استهداف النافذة، لكن لا يمكن الجزم بذلك. وتشير Volexity إلى أن خطر فجوة التصحيح يزداد كلما سرّعت نماذج LLM بحث الثغرات وتطوير ثغرات الاستغلال.
دلالات للجانب الدفاعي: (1) كانت نقطة الاتصال الأولى للهجوم الموجَّه «XSS انعكاسيًا على موقع شرعي». قبل دفاع الحدود، يصبح مهمًا ألا يُجعل XSS في الموقع الخاص موطئًا في السلسلة. (2) في مواجهة سلسلة تعبر المتصفح ونظام التشغيل معًا، يكون لعزل المتصفح (عزل المواقع والصندوق الرملي الإجباري) ولكشف نقطة النهاية معنى. (3) فجوة التصحيح لا تُمنع بـ«سرعة تطبيق التصحيح». إنها مجال تبدأ فيه فرق تتبّع إيداعات المنبع، وعناية من جانب البائع تراعي خطر علنية الإصلاح قبل الإصدار، في أن تؤتي أثرها لأول مرة. (4) في مواجهة تنكّر الإضافات مثل LONGTALE، يكون جرد الإضافات المثبَّتة تدبيرًا واقعيًا. وتستند وقائع هذا المقال إلى تقرير Volexity وتغطية The Hacker News وBleepingComputer، وقسم التحليل مكتوب منفصلًا عن الوقائع.