"প্যাচ গ্যাপ" জিরো-ডে শৃঙ্খল — Chromium-এ ঠিক, Chrome-এ এখনো অসংশোধিত দুর্বলতা 1 সপ্তাহে একাধিক গুপ্তচর গোষ্ঠী ভাগ করে নিয়েছে
Chrome-এর V8 স্যান্ডবক্স থেকে বেরোনো ও Windows ALPC অপব্যবহারকে শৃঙ্খলিত করা BlueMoon হামলা শৃঙ্খল, Volexity-এর পর্যবেক্ষণে, অন্তত একাধিক চীন-উৎস ক্লাস্টার ভাগ করে নিচ্ছিল। Chromium-এ সংশোধন ঢুকেছিল কিন্তু স্থিতিশীল Chrome-এ এখনো প্রতিফলিত হয়নি, এই "প্যাচ গ্যাপ"-এর বিপদ সাজানো হয়।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
15 সেপ্টেম্বর 2026-এ Volexity জানিয়েছে যে চীন-উৎস বলে বিবেচিত একটি থ্রেট ক্লাস্টার (UTA0560) 1 সেপ্টেম্বর একাধিক NGO-কে লক্ষ্য করে লক্ষ্যভিত্তিক ইমেইল হামলায় Google Chrome ও Microsoft Windows-এর দুর্বলতা শৃঙ্খলিত করা একটি হামলা শৃঙ্খল (BlueMoon নাম) ব্যবহার করেছে। ইমেইলের ভিতরের লিঙ্ক একটি মার্কিন বিশ্ববিদ্যালয় সাইটের রিফ্লেক্টেড XSS অপব্যবহার করে আক্রমণকারী-নিয়ন্ত্রিত অবকাঠামোতে নিয়ে গেছে, যেখানে 3-ধাপের এক্সপ্লয়েট খোলা হয়েছে। CVE-2026-85046 দিয়ে V8 স্যান্ডবক্সের ভিতরে নির্বিচার পড়া-লেখা পাওয়া গেছে, CVE-2026-87491 দিয়ে ব্রাউজার স্যান্ডবক্স থেকে বেরোনো হয়েছে, এবং শেষে CVE-2026-85880 দিয়ে Windows-এর Advanced Local Procedure Call (ALPC) অপব্যবহার করে Chrome প্রক্রিয়ায় কোড ইনজেকশন ও নির্বিচার কোড কার্যকর হয়েছে। Volexity এও উল্লেখ করেছে যে আক্রমণকারীরা Windows-এ Chrome ছাড়া বাকিদের বাদ দেওয়া ফিল্টার লাগাচ্ছিল (Volexity / The Hacker News-এর প্রতিবেদন অনুসারে)।
বিশ্লেষণ (তথ্য থেকে পৃথক): উল্লেখযোগ্য হলো একই এক্সপ্লয়েট শৃঙ্খলের "ভাগ করে নেওয়া"। Volexity-এর পর্যবেক্ষণে, UTA0560 যখন GRIMWEDGE নামের একটি JavaScript ধরনের ব্যাকডোর (C2 থেকে eval দিয়ে আদেশ নেওয়া মাঝারি ক্ষমতার প্রাথমিক পা) মোতায়েন করে, তার আশেপাশে JungleBamboo (APT31)-ও একই শৃঙ্খলে লোডার SUPERSTOMP মোতায়েন করেছে, এবং শেষে বৈধ Google Gemini এক্সটেনশনের ছদ্মবেশে তথ্য-চুরি Chrome এক্সটেনশন LONGTALE বসিয়েছে। গণমাধ্যমের শিরোনামে প্রতিবেদন আছে যে "4টি গুপ্তচর গোষ্ঠী 1 সপ্তাহে একই কিট ব্যবহার করেছে" (The Hacker News), এবং ইঙ্গিত দেওয়া হয়েছে যে কোনো ডেভেলপার Chromium-এর সোর্স পার্থক্য থেকে এক্সপ্লয়েট পুনর্নির্মাণ করে একাধিক ক্লাস্টারকে দিয়ে থাকতে পারে। এক্সপ্লয়েট "পণ্য"-এর মতো চলাফেরার কাঠামোর অর্থ হামলার পৃষ্ঠের সাধারণীকরণ দ্রুত।
কারিগরিভাবে সবচেয়ে আকর্ষণীয় প্যাচ গ্যাপ। 2টি Chrome দুর্বলতার (CVE-2026-85046 / CVE-2026-87491) সংশোধন Chromium-এর ওপেন-সোর্স কোডে আগে কমিট হয়েছিল, কিন্তু স্থিতিশীল Chrome-এর রিলিজে তখনো অন্তর্ভুক্ত ছিল না। যে সফটওয়্যারের কমিট ইতিহাস প্রকাশ্য, সেখানে সংশোধন পার্থক্য থেকে হামলা কোড পুনর্নির্মাণের ঝুঁকি সবসময় থাকে, কিন্তু এই ঘটনা এমন একটি উদাহরণ যেখানে "উজানে ঠিক, ভাটিতে এখনো ঠিক নয়" অবস্থা — যা সাধারণ N-day থেকেও এবং জিরো-ডে থেকেও আলাদা — বাস্তব হামলায় ব্যবহৃত হয়েছে। Chrome-এর প্রধান রিলিজ চক্র সম্প্রতি পর্যন্ত 4 সপ্তাহ ছিল (এখন 2 সপ্তাহ), যা আক্রমণকারীদের জানালা লক্ষ্য করা সহজ করার একটি কারণ বলে ভাবা যায়, কিন্তু একে নিশ্চিত করে বলা যায় না। Volexity উল্লেখ করে যে LLM যত দুর্বলতা গবেষণা ও এক্সপ্লয়েট উন্নয়ন দ্রুত করে, প্যাচ গ্যাপের বিপদ তত বাড়ে।
প্রতিরক্ষা পক্ষের তাৎপর্য: (1) লক্ষ্যভিত্তিক হামলার প্রথম সংযোগ ছিল "বৈধ সাইটের রিফ্লেক্টেড XSS"। সীমানা প্রতিরক্ষার আগে, নিজের সাইটের XSS-কে শৃঙ্খলের পাদান না হতে দেওয়া গুরুত্বপূর্ণ হয়। (2) ব্রাউজার ও OS দুটো পার হওয়া শৃঙ্খলের জন্য, ব্রাউজার বিচ্ছিন্নতা (সাইট বিচ্ছিন্নতা, বাধ্য স্যান্ডবক্স) ও এন্ডপয়েন্ট শনাক্তকরণ দুটোরই অর্থ আছে। (3) প্যাচ গ্যাপ "প্যাচ লাগানোর গতি" দিয়ে আটকানো যায় না। এটি সেই ক্ষেত্র যেখানে উজানের কমিট অনুসরণকারী দল এবং রিলিজের আগে সংশোধন প্রকাশের ঝুঁকি নিয়ে বিক্রেতা পক্ষের সতর্কতা প্রথম কাজে লাগে। (4) LONGTALE-এর মতো এক্সটেনশন ছদ্মবেশের বিরুদ্ধে, ইনস্টল করা এক্সটেনশনের তালিকা একটি বাস্তবসম্মত প্রতিরোধ। এই নিবন্ধের তথ্য Volexity-এর প্রতিবেদন, The Hacker News, ও BleepingComputer-এর প্রতিবেদনের ওপর ভিত্তি করে, এবং বিশ্লেষণ অংশ তথ্য থেকে আলাদা করে লেখা।