Rantai zero-day "patch gap" — kerentanan yang sudah diperbaiki di Chromium dan belum diperbaiki di Chrome dipakai bersama oleh beberapa kelompok mata-mata dalam 1 minggu
Diketahui bahwa rantai serangan BlueMoon, yang merangkai pelarian sandbox V8 pada Chrome dan penyalahgunaan ALPC pada Windows, menurut pengamatan Volexity dipakai bersama oleh setidaknya beberapa klaster yang berasal dari Tiongkok. Artikel ini menata bahaya "patch gap", yaitu perbaikan sudah masuk ke Chromium tetapi belum tercermin pada Chrome stabil.
Artikel ini diterjemahkan oleh mesin.
Pada 15 September 2026, Volexity melaporkan bahwa klaster ancaman yang disebut berasal dari Tiongkok (UTA0560) menggunakan rantai serangan yang merangkai kerentanan Google Chrome dan Microsoft Windows (disebut BlueMoon) dalam serangan surel tertarget terhadap beberapa NGO pada 1 September. Tautan di dalam surel menyalahgunakan XSS reflektif pada situs universitas di Amerika Serikat untuk mengarahkan ke infrastruktur yang dikelola penyerang, dan di sana eksploit 3 tahap disebarkan. CVE-2026-85046 memperoleh baca/tulis sembarang di dalam sandbox V8, CVE-2026-87491 keluar dari sandbox peramban, dan terakhir CVE-2026-85880 menyalahgunakan Advanced Local Procedure Call (ALPC) pada Windows hingga injeksi kode ke proses Chrome dan eksekusi kode sembarang. Volexity juga menunjukkan bahwa penyerang menerapkan filter untuk mengecualikan selain Chrome di Windows (berdasarkan pemberitaan Volexity / The Hacker News).
Analisis (dipisahkan dari fakta): yang patut dicatat adalah "pemakaian bersama" rantai eksploit yang sama. Dalam pengamatan Volexity, pada masa sebelum dan sesudah UTA0560 menyebarkan backdoor bertipe JavaScript bernama GRIMWEDGE (pijakan awal berkemampuan sedang yang menerima perintah melalui eval dari C2), JungleBamboo (APT31) juga menyebarkan loader SUPERSTOMP dengan rantai yang sama, dan pada akhirnya memasang ekstensi Chrome pencuri informasi LONGTALE yang menyamar sebagai ekstensi Google Gemini yang sah. Judul media memberitakan bahwa "4 kelompok mata-mata menggunakan kit yang sama dalam 1 minggu" (The Hacker News), dan disiratkan kemungkinan bahwa pengembang merekonstruksi eksploit dari selisih sumber Chromium lalu menyediakannya kepada beberapa klaster. Struktur tempat eksploit beredar seperti "produk" berarti generalisasi permukaan serangan berlangsung cepat.
Yang paling menarik secara teknis adalah patch gap. Perbaikan atas 2 kerentanan Chrome (CVE-2026-85046 / CVE-2026-87491) telah lebih dahulu di-commit pada kode sumber terbuka Chromium, tetapi belum termasuk dalam rilis Chrome stabil. Pada perangkat lunak yang riwayat commit-nya dipublikasikan, risiko merekonstruksi kode serangan dari selisih perbaikan selalu menyertai, tetapi kasus ini adalah contoh nyata keadaan "sudah diperbaiki di hulu, belum diperbaiki di hilir" — yang berbeda baik dari N-day biasa maupun dari zero-day — yang dipakai dalam serangan sungguhan. Bahwa siklus rilis mayor Chrome hingga baru-baru ini adalah 4 minggu (sekarang 2 minggu) juga dapat dianggap sebagai salah satu faktor yang membuat penyerang lebih mudah membidik jendela itu, tetapi hal ini tidak dapat dipastikan. Volexity menunjukkan bahwa semakin LLM mempercepat penelitian kerentanan dan pengembangan eksploit, semakin bertambah bahaya patch gap.
Implikasi bagi pihak bertahan: (1) Titik kontak pertama serangan tertarget adalah "XSS reflektif pada situs yang sah". Sebelum pertahanan batas, menjadi penting agar XSS pada situs sendiri tidak dijadikan pijakan rantai. (2) Terhadap rantai yang melintasi peramban dan OS sekaligus, isolasi peramban (pemisahan situs dan sandbox yang dipaksa) serta deteksi endpoint sama-sama bermakna. (3) Patch gap tidak dapat dicegah dengan "kecepatan penerapan patch". Ini adalah wilayah di mana yang pertama-tama efektif adalah tim yang melacak commit hulu, serta pertimbangan di sisi vendor yang memperhitungkan risiko memublikasikan perbaikan sebelum rilis. (4) Terhadap penyamaran ekstensi seperti LONGTALE, inventarisasi ekstensi yang sudah terpasang menjadi penanggulangan yang realistis. Adapun fakta dalam tulisan ini didasarkan pada laporan Volexity, pemberitaan The Hacker News, dan BleepingComputer, sedangkan bagian analisis ditulis terpisah dari fakta.