"पैच गैप" शून्य-दिन शृंखला — Chromium में ठीक, Chrome में अभी न सुधारी गई भेद्यताएँ 1 सप्ताह में कई जासूसी समूहों द्वारा साझा की गईं
Chrome के V8 सैंडबॉक्स निकास और Windows ALPC दुरुपयोग को शृंखलाबद्ध करने वाली BlueMoon हमला शृंखला, Volexity के अवलोकन में, कम से कम कई चीन-उत्पत्ति क्लस्टरों द्वारा साझा की जा रही थी। Chromium में सुधार आ चुका था पर स्थिर Chrome में अभी प्रतिबिंबित नहीं, इस "पैच गैप" के खतरे को व्यवस्थित किया जाता है।
यह लेख मशीन से अनुवादित किया गया था।
15 सितंबर 2026 को Volexity ने रिपोर्ट किया कि चीन-उत्पत्ति माने जाने वाले थ्रेट क्लस्टर (UTA0560) ने 1 सितंबर को कई NGO को लक्षित लक्षित ईमेल हमले में Google Chrome और Microsoft Windows की भेद्यताओं को शृंखलाबद्ध करने वाली हमला शृंखला (BlueMoon नाम) का उपयोग किया। ईमेल के भीतर का लिंक एक अमेरिकी विश्वविद्यालय साइट के रिफ्लेक्टेड XSS का दुरुपयोग कर हमलावर-नियंत्रित अवसंरचना की ओर ले गया, जहाँ 3-चरण का एक्सप्लॉइट विस्तारित हुआ। CVE-2026-85046 से V8 सैंडबॉक्स के भीतर मनमाना पठन-लेखन प्राप्त हुआ, CVE-2026-87491 से ब्राउज़र सैंडबॉक्स से निकास हुआ, और अंत में CVE-2026-85880 से Windows के Advanced Local Procedure Call (ALPC) का दुरुपयोग कर Chrome प्रक्रिया में कोड इंजेक्शन और मनमाना कोड निष्पादन हुआ। Volexity ने यह भी इंगित किया कि हमलावर Windows पर Chrome के अलावा को बाहर करने वाला फ़िल्टर लगा रहे थे (Volexity / The Hacker News की रिपोर्ट के अनुसार)।
विश्लेषण (तथ्यों से पृथक): उल्लेखनीय वही एक्सप्लॉइट शृंखला का "साझा होना" है। Volexity के अवलोकन में, UTA0560 द्वारा GRIMWEDGE नामक JavaScript प्रकार का बैकडोर (C2 से eval द्वारा आदेश लेने वाला मध्यम क्षमता का प्रारंभिक पैर) तैनात करने के आसपास, JungleBamboo (APT31) ने भी उसी शृंखला से लोडर SUPERSTOMP तैनात किया, और अंततः वैध Google Gemini एक्सटेंशन का रूप धर कर सूचना-चोरी Chrome एक्सटेंशन LONGTALE स्थापित किया। मीडिया शीर्षकों में रिपोर्ट है कि "4 जासूसी समूहों ने 1 सप्ताह में एक ही किट का उपयोग किया" (The Hacker News), और यह सुझाव दिया गया है कि किसी डेवलपर ने Chromium के स्रोत अंतर से एक्सप्लॉइट का पुनर्निर्माण कर कई क्लस्टरों को प्रदान किया हो। एक्सप्लॉइट के "उत्पाद" की तरह प्रसारित होने की संरचना का अर्थ है कि हमला सतह का सामान्यीकरण तेज़ है।
तकनीकी रूप से सबसे दिलचस्प पैच गैप है। 2 Chrome भेद्यताओं (CVE-2026-85046 / CVE-2026-87491) के सुधार Chromium के ओपन-सोर्स कोड में पहले कमिट हो चुके थे, पर स्थिर Chrome की रिलीज़ में अभी शामिल नहीं थे। जिन सॉफ़्टवेयर का कमिट इतिहास सार्वजनिक है, वहाँ सुधार अंतर से हमला कोड पुनर्निर्मित करने का जोखिम हमेशा साथ रहता है, पर यह मामला एक ऐसा उदाहरण है जिसमें "ऊपर ठीक, नीचे अभी न ठीक" की अवस्था — जो साधारण N-day से भी और शून्य-दिन से भी भिन्न है — वास्तविक हमले में उपयोग हुई। Chrome का प्रमुख रिलीज़ चक्र हाल तक 4 सप्ताह था (अब 2 सप्ताह), जिसे हमलावरों के लिए खिड़की को निशाना बनाने में आसान बनाने का एक कारण माना जा सकता है, पर इसे निश्चित नहीं कहा जा सकता। Volexity इंगित करता है कि जितना LLM भेद्यता अनुसंधान और एक्सप्लॉइट विकास को तेज़ करते हैं, पैच गैप का खतरा उतना बढ़ता है।
रक्षा पक्ष के निहितार्थ: (1) लक्षित हमले का पहला संपर्क "वैध साइट का रिफ्लेक्टेड XSS" था। सीमा रक्षा से पहले, अपनी साइट के XSS को शृंखला का पायदान न बनने देना महत्त्वपूर्ण हो जाता है। (2) ब्राउज़र और OS दोनों को पार करने वाली शृंखला के लिए, ब्राउज़र अलगाव (साइट अलगाव, बाध्य सैंडबॉक्स) और एंडपॉइंट पहचान दोनों का अर्थ है। (3) पैच गैप "पैच लगाने की गति" से नहीं रोका जा सकता। यह वह क्षेत्र है जहाँ अपस्ट्रीम कमिट का अनुसरण करने वाली टीमें और रिलीज़ से पहले सुधार के प्रकटीकरण जोखिम पर विक्रेता पक्ष की सावधानी पहली बार प्रभावी होती है। (4) LONGTALE जैसी एक्सटेंशन छद्मवेशिता के लिए, स्थापित एक्सटेंशन की इन्वेंटरी व्यावहारिक प्रतिउपाय है। इस लेख के तथ्य Volexity की रिपोर्ट, The Hacker News, और BleepingComputer की रिपोर्ट पर आधारित हैं, और विश्लेषण भाग तथ्यों से अलग लिखा गया है।