سلسلة زيرو داي لـ«فجوة التصحيح» — ثغرات اتصلحت في Chromium ولسه متتصلحش في Chrome اشتركت فيها مجموعات تجسّس كتير خلال 1 أسبوع
من رصد Volexity اتبيّن إن سلسلة هجوم BlueMoon، اللي سلسلت الخروج من صندوق رمل V8 في Chrome وإساءة استخدام ALPC في Windows، كانت مشتركة بين كذا عنقود صيني المنشأ على الأقل. بنرتّب خطورة «فجوة التصحيح» اللي الإصلاح دخل فيها Chromium ولسه منعكسش في Chrome المستقر.
المقالة دي اتترجمت بالآلة.
يوم 15 سبتمبر 2026، Volexity قالت إن عنقود تهديد بيتوصف إنه صيني المنشأ (UTA0560) استخدم، في هجوم بريد موجَّه استهدف كذا منظمة غير حكومية يوم 1 سبتمبر، سلسلة هجوم (اسمها BlueMoon) بتسلسل ثغرات Google Chrome وMicrosoft Windows. الروابط جوّا البريد استغلت XSS انعكاسي على موقع جامعة أمريكية عشان توجّه لبنية المهاجم بيديرها، وهناك ثغرة استغلال من 3 مراحل بتتنشر. بـ CVE-2026-85046 بيحصل قراءة وكتابة اعتباطية جوّا صندوق رمل V8، وبـ CVE-2026-87491 خروج من صندوق رمل المتصفح، وأخيرًا بـ CVE-2026-85880 إساءة استخدام Advanced Local Procedure Call (ALPC) في Windows عشان يوصل لحقن كود في عملية Chrome وتنفيذ كود اعتباطي. وVolexity كمان بتشير إن المهاجمين كانوا بيصفّوا عشان يستبعدوا غير Chrome على Windows (حسب تغطية Volexity / The Hacker News).
تحليل (منفصل عن الوقائع): اللي بيلفت هو «اشتراك» نفس سلسلة الاستغلال. في رصد Volexity، حوالين الوقت اللي UTA0560 نشر فيه باب خلفي من نوع JavaScript اسمه GRIMWEDGE (موطئ قدم أولي بقدرة متوسطة بياخد أوامر بـ eval من C2)، JungleBamboo (APT31) كمان نشر المحمّل SUPERSTOMP بنفس السلسلة، وفي الآخر دخّل إضافة Chrome لسرقة المعلومات اسمها LONGTALE متنكرة في هيئة إضافة Google Gemini شرعية. وعناوين الإعلام بتقول إن «4 مجموعات تجسّس استخدمت نفس العدة في 1 أسبوع» (The Hacker News)، وده بيلمّح لاحتمال إن مطوّر أعاد بناء ثغرة الاستغلال من فروق مصدر Chromium وقدّمها لعناقيد كتير. وبنية الاستغلال بيلف فيها كـ«منتج» معناها إن تعميم سطح الهجوم سريع.
النقطة الأشد إثارة للاهتمام تقنيًا هي فجوة التصحيح. إصلاح الثغرات الـ2 في Chrome (CVE-2026-85046 / CVE-2026-87491) كان اتودع قبل كده في الشيفرة مفتوحة المصدر لـ Chromium، بس لسه مكانش داخل في إصدار Chrome المستقر. في البرمجيات اللي تاريخ إيداعها علني، خطر إعادة بناء كود الهجوم من فرق الإصلاح دايمًا ملازمها، بس الحالة دي مثال على استخدام حالة في هجوم فعلي مختلفة عن N-day العادي وعن الزيرو داي مع بعض، وهي «متصلح في المنبع ومش متصلح في المصب». وإن دورة الإصدار الرئيسي لـ Chrome فضلت 4 أسابيع لحد وقت قريب (ودلوقتي 2 أسابيع) ممكن كمان يتعتبر عامل من العوامل اللي سهّلت على المهاجمين يصوبوا على النافذة، بس الجزم بكده مش ممكن. وVolexity بتشير إن خطر فجوة التصحيح بيزيد كلما نماذج LLM سرّعت بحث الثغرات وتطوير ثغرات الاستغلال.
دلالات للجانب الدفاعي: (1) نقطة الاتصال الأولى للهجوم الموجَّه كانت «XSS انعكاسي على موقع شرعي». قبل دفاع الحدود، يبقى مهم إن XSS في الموقع نفسه مايبقاش موطئ في السلسلة. (2) قصاد سلسلة بتعدّي المتصفح ونظام التشغيل مع بعض، عزل المتصفح (عزل المواقع والصندوق الرملي الإجباري) وكشف نقطة النهاية الاتنين ليهم معنى. (3) فجوة التصحيح مش بتتمنع بـ«سرعة تطبيق التصحيح». ده مجال فرق تتبّع إيداعات المنبع، وعناية من ناحية البائع بتراعي خطر إن الإصلاح يبقى علني قبل الإصدار، يبتدوا يأثروا فيه لأول مرة. (4) قصاد تنكّر الإضافات زي LONGTALE، جرد الإضافات المتثبّتة تدبير واقعي. وقائع المقال ده مبنية على تقرير Volexity وتغطية The Hacker News وBleepingComputer، وقسم التحليل مكتوب منفصل عن الوقائع.