Die „Patch-Gap“-Zero-Day-Kette — in Chromium bereits behobene, in Chrome noch nicht korrigierte Schwachstellen wurden innerhalb von 1 Woche von mehreren Spionagegruppen gemeinsam genutzt
Es wurde festgestellt, dass die Angriffskette BlueMoon, die den Ausbruch aus der V8-Sandbox von Chrome und den Missbrauch von Windows ALPC verkettet, nach der Beobachtung von Volexity zumindest von mehreren aus China stammenden Clustern gemeinsam genutzt wurde. Die Gefahr des „Patch Gap“ wird geordnet dargestellt: In Chromium war die Korrektur enthalten, in der stabilen Ausgabe von Chrome noch nicht.
Dieser Artikel wurde maschinell übersetzt.
Am 15. September 2026 berichtete Volexity, dass ein als aus China stammend bezeichnetes Bedrohungscluster (UTA0560) in einem gezielten E-Mail-Angriff am 1. September gegen mehrere NGOs eine Angriffskette (Bezeichnung BlueMoon) eingesetzt hat, die Schwachstellen von Google Chrome und Microsoft Windows verkettet. Der Link in der E-Mail nutzte ein reflektiertes XSS auf der Website einer Universität in den USA, um auf vom Angreifer verwaltete Infrastruktur zu leiten, wo ein Exploit in 3 Stufen entfaltet wird. Mit CVE-2026-85046 wird beliebiges Lesen und Schreiben innerhalb der V8-Sandbox erlangt, mit CVE-2026-87491 wird die Sandbox des Browsers verlassen, und zuletzt wird mit CVE-2026-85880 der Advanced Local Procedure Call (ALPC) von Windows missbraucht, sodass es zur Code-Injektion in den Chrome-Prozess und zur Ausführung beliebigen Codes kommt. Volexity weist auch darauf hin, dass die Angreifer alles außer Chrome unter Windows per Ausschlussfilter ausgenommen hatten (laut der Berichterstattung von Volexity / The Hacker News).
Analyse (von den Fakten getrennt): Hervorzuheben ist die „gemeinsame Nutzung“ derselben Exploit-Kette. Nach der Beobachtung von Volexity hat, um den Zeitpunkt herum, zu dem UTA0560 die Backdoor vom Typ JavaScript namens GRIMWEDGE entfaltete (ein anfängliches Standbein mittlerer Fähigkeit, das Befehle per eval vom C2 empfängt), auch JungleBamboo (APT31) mit derselben Kette den Loader SUPERSTOMP entfaltet und schließlich die informationsstehlende Chrome-Erweiterung LONGTALE eingeführt, die eine legitime Erweiterung von Google Gemini vortäuscht. In Schlagzeilen der Medien wird berichtet, „4 Spionagegruppen haben innerhalb von 1 Woche dasselbe Kit verwendet“ (The Hacker News), und es wird die Möglichkeit nahegelegt, dass Entwickler den Exploit aus den Quelldifferenzen von Chromium rekonstruiert und mehreren Clustern bereitgestellt haben. Eine Struktur, in der Exploits wie ein „Produkt“ zirkulieren, bedeutet, dass die Verallgemeinerung der Angriffsfläche schnell ist.
Technisch am interessantesten ist der Patch Gap. Die Korrekturen der 2 Chrome-Schwachstellen (CVE-2026-85046 / CVE-2026-87491) waren im Open-Source-Code von Chromium vorab committet, in der Veröffentlichung der stabilen Chrome-Ausgabe aber noch nicht enthalten. Bei Software mit öffentlicher Commit-Historie besteht stets das Risiko, Angriffscode aus der Korrekturdifferenz zu rekonstruieren, doch dieser Fall ist ein reales Beispiel dafür, dass ein Zustand, der sich sowohl vom gewöhnlichen N-day als auch vom Zero-Day unterscheidet — „upstream bereits korrigiert, downstream noch nicht korrigiert“ —, in einem tatsächlichen Angriff verwendet wurde. Dass der Zyklus der Hauptveröffentlichungen von Chrome bis vor Kurzem 4 Wochen betrug (derzeit 2 Wochen), kann ebenfalls als ein Faktor gelten, der es Angreifern erleichterte, das Fenster zu treffen, doch das lässt sich nicht als feststehend behaupten. Volexity weist darauf hin, dass die Gefahr des Patch Gap zunimmt, je stärker LLMs die Schwachstellenforschung und die Entwicklung von Exploits beschleunigen.
Abwehrseitige Folgerungen: (1) Der erste Kontaktpunkt des gezielten Angriffs war „reflektiertes XSS auf einer legitimen Website“. Noch vor der Verteidigung an der Grenze wird es wichtig, das XSS der eigenen Website nicht zum Trittbrett der Kette werden zu lassen. (2) Gegen eine Kette, die sowohl den Browser als auch das OS überspannt, haben die Isolation des Browsers (Site Isolation, erzwungene Sandbox) und die Erkennung am Endpunkt beide Bedeutung. (3) Den Patch Gap verhindert man nicht durch „Geschwindigkeit der Patch-Anwendung“. Es ist ein Bereich, in dem erstmals Teams, die Upstream-Commits verfolgen, und die Rücksicht auf Seiten des Herstellers wirken, die das Risiko der Veröffentlichung einer Korrektur vor dem Release bedenkt. (4) Gegen die Vortäuschung von Erweiterungen wie LONGTALE ist die Bestandsaufnahme installierter Erweiterungen eine realistische Maßnahme. Die Sachverhalte dieses Beitrags beruhen auf dem Bericht von Volexity, The Hacker News und BleepingComputer; der Analyseteil ist von den Fakten getrennt beschrieben.