שרשרת יום אפס של «פער טלאי» — חולשות שתוקנו ב-Chromium וטרם תוקנו ב-Chrome היו בשימוש משותף של כמה קבוצות ריגול בתוך שבוע 1
התברר ששרשרת התקיפה BlueMoon, שקישרה יציאה מארגז החול של V8 ב-Chrome עם ניצול ALPC ב-Windows, הייתה בשימוש משותף של לפחות כמה אשכולות שמקורם בסין לפי התצפית של Volexity. ל-Chromium נכנס תיקון, אבל הוא טרם השתקף ב-Chrome היציב, ואנו מסדרים את הסכנה של «פער הטלאי» הזה.
מאמר זה תורגם במכונה.
ב-15 בספטמבר 2026 דיווחה Volexity שאשכול האיום UTA0560, המתואר כמקורו בסין, השתמש בתקיפת דוא״ל ממוקדת שכוונה ב-1 בספטמבר לכמה ארגוני NGO בשרשרת תקיפה (המכונה BlueMoon) שמשרשרת חולשות של Google Chrome ושל Microsoft Windows. הקישור בדוא״ל ניצל XSS משקף באתר של אוניברסיטה בארצות הברית כדי להפנות לתשתית שבשליטת התוקף, ושם נפרס ניצול ב-3 שלבים. ב-CVE-2026-85046 הושגה קריאה וכתיבה שרירותיות בתוך ארגז החול של V8, ב-CVE-2026-87491 בוצעה יציאה מארגז החול של הדפדפן, ולבסוף ב-CVE-2026-85880 נוצל Advanced Local Procedure Call (ALPC) של Windows להזרקת קוד לתהליך Chrome ולהרצת קוד שרירותית. Volexity ציינה גם שהתוקפים סיננו החוצה כל מה שאינו Chrome על Windows (לפי הדיווח של Volexity / The Hacker News).
ניתוח (מופרד מהעובדות): מה שראוי לציון הוא ה«שימוש המשותף» באותה שרשרת ניצול. לפי התצפית של Volexity, בסמוך לכך ש-UTA0560 פרס את דלת האחורית מסוג JavaScript בשם GRIMWEDGE (אחיזה ראשונית בעלת יכולת בינונית שמקבלת פקודות ב-eval מ-C2), גם JungleBamboo (APT31) פרס באותה שרשרת את הטוען SUPERSTOMP, ולבסוף התקין את הרחבת Chrome לגניבת מידע LONGTALE שהתחפשה להרחבת Google Gemini לגיטימית. בכותרות בתקשורת דווח ש«4 קבוצות ריגול השתמשו באותה ערכה בתוך שבוע 1» (The Hacker News), ומכך משתמע האפשרות שמפתחים בנו מחדש את הניצול מהפרשי המקור של Chromium וסיפקו אותו לכמה אשכולות. מבנה שבו ניצולים מסתובבים כמו «מוצר» פירושו שהכללת משטח התקיפה מהירה.
מבחינה טכנית, מה שמעניין ביותר הוא פער הטלאי. התיקונים ל-2 חולשות Chrome (CVE-2026-85046 / CVE-2026-87491) הוכנסו קודם כקומיט בקוד הפתוח של Chromium, אבל עדיין לא נכללו במהדורה היציבה של Chrome. בתוכנה שהיסטוריית הקומיטים שלה פומבית, הסיכון לבנות מחדש קוד תקיפה מהפרשי התיקון מלווה תמיד, אבל המקרה הזה הוא דוגמה שבה מצב «תוקן במעלה הזרם ועדיין לא תוקן במורד הזרם» — שונה גם מ-N-day רגיל וגם מיום אפס — שימש בתקיפה אמיתית. גם העובדה שמחזור המהדורה הראשית של Chrome היה 4 שבועות עד לאחרונה (כעת 2 שבועות) נחשבת לאחד הגורמים שהקלו על תוקפים לכוון לחלון, אבל אי אפשר לקבוע זאת באופן חד-משמעי. Volexity מציינת שככל ש-LLM מאיצים מחקר חולשות ופיתוח ניצולים, כך עולה דרגת הסכנה של פער הטלאי.
השלכות לצד המגן: (1) נקודת המגע הראשונה של התקיפה הממוקדת הייתה «XSS משקף באתר לגיטימי». לפני הגנת הגבול, חשוב לא לתת ל-XSS באתר של עצמך לשמש מקפצה בשרשרת. (2) מול שרשרת שחוצה גם דפדפן וגם מערכת הפעלה, גם לבידוד הדפדפן (הפרדת אתרים, ארגז חול כפוי) וגם לזיהוי בנקודת הקצה יש משמעות. (3) פער טלאי אינו נמנע ב«מהירות החלת הטלאים». זה תחום שבו צוותים שעוקבים אחרי קומיטים במעלה הזרם, והתחשבות של היצרן בסיכון הפרסום של תיקון לפני המהדורה, פועלים לראשונה. (4) מול התחזות להרחבה כמו LONGTALE, מצאי של ההרחבות המותקנות הוא אמצעי מעשי. עובדות המאמר הזה מבוססות על הדיווח של Volexity, The Hacker News ו-BleepingComputer, וחלק הניתוח נכתב בנפרד מן העובדות.