سلسلة يوم صفر ديال «فجوة التصحيح» — ثغرات تصلح فـChromium ومازال ما تصلحاتش فـChrome تشاركات بين مجموعات تجسس متعددة فظرف سيمانة 1
بان بلي سلسلة الهجوم BlueMoon، اللي ربطات الخروج من صندوق الرمل ديال V8 فـChrome مع استغلال ALPC فـWindows، تشاركات على الأقل بين مجموعات متعددة مصدرها الصين حسب ملاحظة Volexity. التصحيح دخل لـChromium ولكن مازال ما انعكاسش فـChrome المستقر، وحنا كنرتبو خطورة هاد «فجوة التصحيح».
هاد المقال ترجمو بالآلة.
نهار 15 سبتمبر 2026، Volexity بلغات بلي عنقود التهديد UTA0560، الموصوف بلي مصدرو من الصين، استعمل فهجوم بريد مستهدف نهار 1 سبتمبر ضد منظمات NGO متعددة سلسلة هجوم (كتسمى BlueMoon) كتربط ثغرات Google Chrome وMicrosoft Windows. الرابط فالبريد استغل XSS انعكاسي فموقع جامعة أمريكية باش يوجه لبنية تحت سيطرة المهاجم، وهناك تنشر استغلال على 3 مراحل. بـCVE-2026-85046 تحصل على قراءة وكتابة اعتباطية داخل صندوق الرمل ديال V8، وبـCVE-2026-87491 خرج من صندوق الرمل ديال المتصفح، وفي الآخر بـCVE-2026-85880 استغل Advanced Local Procedure Call (ALPC) ديال Windows باش يحقن الكود فعملية Chrome وينفذ كود اعتباطي. Volexity أشارات حتى بلي المهاجمين كانو كيصفيو كلشي ما عدا Chrome على Windows (حسب تقرير Volexity / The Hacker News).
التحليل (مفصول على الوقائع): اللي يستاهل الذكر هو «التشارك» فنفس سلسلة الاستغلال. فحسب ملاحظة Volexity، فحدود ما UTA0560 نشر الباب الخلفي من نوع JavaScript المسمى GRIMWEDGE (موطئ أول بقدرة متوسطة كياخد الأوامر بـeval من C2)، حتى JungleBamboo (APT31) نشر بنفس السلسلة المحمل SUPERSTOMP، وفي الآخر ركب إضافة Chrome لسرقة المعلومات LONGTALE متنكرة كإضافة Google Gemini شرعية. فعناوين الإعلام تقال بلي «4 مجموعات تجسس استعملات نفس العدة فظرف سيمانة 1» (The Hacker News)، وهاد الشي كيوحي بإمكانية بلي المطورين عادو بنى الاستغلال من فروقات المصدر ديال Chromium وعطاوه لعناقيد متعددة. بنية كيدور فيها الاستغلال بحال «منتوج» كتعني بلي تعميم سطح الهجوم سريع.
تقنيا، اللي مثير أكثر هو فجوة التصحيح. تصحيحات 2 ثغرات ديال Chrome (CVE-2026-85046 / CVE-2026-87491) كانت التزامت قبل فالكود المفتوح ديال Chromium، ولكن مازال ما دخلاتش لإصدار Chrome المستقر. فالبرمجيات اللي تاريخ الالتزامات ديالها عمومي، خطر إعادة بناء كود الهجوم من فروقات التصحيح كيرافق ديما، ولكن هاد الحالة مثال فين حالة «تصلح فالأعلى ومازال ما تصلحش فالأسفل» — مختلفة على N-day العادي وعلى يوم الصفر — تستعمل فهجوم حقيقي. حتى كون دورة الإصدار الرئيسي ديال Chrome كانت 4 سيمانات حتى لقريب (دابا 2 سيمانات) كتعتبر واحد من الأسباب اللي سهلات على المهاجمين يصوبو النافذة، ولكن ما يمكنش نحسمو هاد الشي. Volexity كتشير بلي قد ما LLM كيسرعو بحث الثغرات وتطوير الاستغلال، قد ما كترت خطورة فجوة التصحيح.
الآثار على جهة الدفاع: (1) أول نقطة تماس ديال الهجوم المستهدف كانت «XSS انعكاسي فموقع شرعي». قبل دفاع الحدود، كيولي مهم ما تخليش XSS فالموقع ديالك يكون عتبة فالسلسلة. (2) ضد سلسلة كتعبر المتصفح ونظام التشغيل بجوج، عزل المتصفح (عزل المواقع، وصندوق رمل مفروض) وكشف نقطة النهاية بجوج عندهم معنى. (3) فجوة التصحيح ما كتمنعش بـ«سرعة تطبيق التصحيحات». هادا مجال فين الفرق اللي كتتبع التزامات المنبع، واعتبار البائع لخطر نشر التصحيح قبل الإصدار، كيبداو يخدمو لأول مرة. (4) ضد تنكر الإضافات بحال LONGTALE، جرد الإضافات المركبة هو إجراء عملي. وقائع هاد المقال مبنية على تقرير Volexity وThe Hacker News وBleepingComputer، وقسم التحليل مكتوب مفصول على الوقائع.