La cadena de día cero del «patch gap» — vulnerabilidades ya corregidas en Chromium y aún sin corregir en Chrome, compartidas por varios grupos de espionaje en 1 semana
Se constató que la cadena de ataque BlueMoon, que encadena el escape del sandbox de V8 de Chrome con el abuso de ALPC de Windows, había sido compartida, según las observaciones de Volexity, por al menos varios clústeres de origen chino. Se precisa el peligro del «patch gap»: la corrección ya había entrado en Chromium, pero aún no se había reflejado en la versión estable de Chrome.
Este artículo fue traducido por máquina.
El 15 de septiembre de 2026, Volexity informó de que un clúster de amenazas presuntamente de origen chino (UTA0560) usó, en un ataque de correo dirigido contra varias ONG el 1 de septiembre, una cadena de ataque (denominada BlueMoon) que encadena vulnerabilidades de Google Chrome y de Microsoft Windows. El enlace del correo explotaba un XSS reflejado en el sitio de una universidad de Estados Unidos para conducir a infraestructura controlada por el atacante, donde se desplegaba un exploit en 3 etapas. Con CVE-2026-85046 se obtenía lectura y escritura arbitrarias dentro del sandbox de V8, con CVE-2026-87491 se escapaba del sandbox del navegador y, por último, con CVE-2026-85880 se abusaba de Advanced Local Procedure Call (ALPC) de Windows para inyectar código en el proceso de Chrome y ejecutar código arbitrario. Volexity también señaló que el atacante aplicaba un filtro de exclusión para dejar fuera todo lo que no fuera Chrome en Windows (según la cobertura de Volexity / The Hacker News).
Análisis (separado de los hechos): lo que merece destacarse es la «compartición» de la misma cadena de exploits. Según las observaciones de Volexity, en torno al momento en que UTA0560 desplegó un backdoor de tipo JavaScript llamado GRIMWEDGE (un punto de apoyo inicial, de capacidad moderada, que recibe órdenes mediante eval desde el C2), JungleBamboo (APT31) desplegó también, con la misma cadena, el cargador SUPERSTOMP y, al final, introdujo la extensión de Chrome de robo de información LONGTALE, que se hacía pasar por la extensión legítima de Google Gemini. Los titulares informaron de que «4 grupos de espionaje usaron el mismo kit en 1 semana» (The Hacker News), y se sugiere la posibilidad de que un desarrollador reconstruyera el exploit a partir de las diferencias del código fuente de Chromium y lo proporcionara a varios clústeres. Una estructura en la que el exploit circula como un «producto» significa que la generalización de la superficie de ataque es rápida.
Lo más interesante desde el punto de vista técnico es el patch gap. Las correcciones de 2 vulnerabilidades de Chrome (CVE-2026-85046 / CVE-2026-87491) ya se habían incorporado, en commits previos, al código de código abierto de Chromium, pero aún no estaban incluidas en la versión estable de Chrome. En el software cuyo historial de commits es público, el riesgo de reconstruir código de ataque a partir de la diferencia de la corrección acompaña siempre, pero este caso es un ejemplo real en el que un estado distinto tanto del N-day habitual como del día cero — «corregido aguas arriba, sin corregir aguas abajo» — se usó en un ataque real. Que el ciclo de versiones mayores de Chrome hubiera sido de 4 semanas hasta hace poco (ahora es de 2 semanas) también puede considerarse un factor que facilitó a los atacantes apuntar a esa ventana, pero esto no puede afirmarse de forma definitiva. Volexity señala que, cuanto más los LLM aceleran la investigación de vulnerabilidades y el desarrollo de exploits, más aumenta el peligro del patch gap.
Implicaciones para la defensa: (1) El primer punto de contacto del ataque dirigido fue un «XSS reflejado en un sitio legítimo». Antes de la defensa del perímetro, importa no dejar que el XSS del propio sitio sirva de trampolín de la cadena. (2) Frente a una cadena que atraviesa tanto el navegador como el sistema operativo, tienen sentido el aislamiento del navegador (aislamiento de sitios y sandbox forzado) y la detección en el endpoint. (3) El patch gap no puede impedirse con «la rapidez al aplicar parches». Es un ámbito en el que, por primera vez, resultan eficaces los equipos que siguen los commits de aguas arriba y la atención, del lado del proveedor, al riesgo de hacer pública una corrección antes del lanzamiento. (4) Frente a la suplantación de extensiones como LONGTALE, el inventario de las extensiones instaladas es una medida práctica. Los hechos de este artículo se basan en el informe de Volexity y en la cobertura de The Hacker News y de BleepingComputer; la parte de análisis se escribe separada de los hechos.