Rantai zero-day patch-gap — cacat sing wis ditambal ing Chromium nanging durung ing Chrome dianggo bareng dening pirang-pirang klompok mata-mata sajrone 1 peken
Rantai panyerangan BlueMoon sing nggandhengake uwal saka sandbox V8 Chrome lan eksploitasi ALPC Windows, miturut pangamatan Volexity, ketok dianggo bareng paling ora dening pirang-pirang kluster sing asale saka Cina. Tulisan iki nata bebaya «patch gap»: dandan wis mlebu ing Chromium nanging durung mlebu ing Chrome sing stabil.
Artikel iki dijarwakake dening mesin.
Ing tanggal 15 September 2026, Volexity nglaporake yen kluster ancaman sing diarani asale saka Cina (UTA0560) nganggo rantai panyerangan (diarani BlueMoon) sing nggandhengake cacat Google Chrome lan Microsoft Windows ing panyerangan email sing ditargetake marang pirang-pirang NGO ing tanggal 1 September. Pranala ing email ngeksploitasi reflected XSS situs universitas ing Amerika Serikat kanggo nuntun menyang prasarana sing dikelola panyerang, lan ing kana eksploitasi 3 tataran dibabar. CVE-2026-85046 ngasilake waca-tulis sembarang ing njero sandbox V8, CVE-2026-87491 nguwal saka sandbox browser, lan pungkasane CVE-2026-85880 ngeksploitasi Advanced Local Procedure Call (ALPC) Windows kanggo injeksi kode menyang proses Chrome lan eksekusi kode sembarang. Volexity uga nunjukake yen panyerang nyaring supaya sing dudu Chrome ing Windows dikecualekake (miturut pawarta Volexity / The Hacker News).
Analisis (kapisah saka fakta): sing kudu dicathet yaiku «dianggo bareng»-e rantai eksploitasi sing padha. Miturut pangamatan Volexity, ing sekitar wektu UTA0560 mbabar backdoor jinis JavaScript sing aran GRIMWEDGE (papan sikil wiwitan kanthi kemampuan sedheng sing nampa printah liwat eval saka C2), JungleBamboo (APT31) uga mbabar loader SUPERSTOMP kanthi rantai sing padha, lan pungkasane masang ekstensi Chrome pencuri informasi LONGTALE sing nyamar dadi ekstensi Google Gemini resmi. Ing irah-irahan media dilapurake yen «4 klompok mata-mata nganggo kit sing padha sajrone 1 peken» (The Hacker News), lan diwenehi kesan yen pangembang mbangun maneh eksploitasi saka beda sumber Chromium banjur nyedhiyakake menyang pirang-pirang kluster. Struktur ing ngendi eksploitasi sumebar kaya «produk» tegese generalisasi lumah panyerangan iku cepet.
Sing paling narik kanthi teknis yaiku patch gap. Dandan kanggo 2 cacat Chrome (CVE-2026-85046 / CVE-2026-87491) wis dikomit luwih dhisik ing kode sumber terbuka Chromium, nanging durung klebu ing rilis Chrome stabil. Ing piranti lunak sing riwayat komit dibukak kanggo umum, risiko mbangun maneh kode panyerangan saka beda dandan tansah ngetutake, nanging kasus iki yaiku conto nyata yen kahanan sing dudu N-day biasa lan uga dudu zero-day — «wis didandani ing hulu, durung didandani ing hilir» — dianggo ing panyerangan nyata. Siklus rilis utama Chrome sing nganti sejege 4 peken (saiki 2 peken) uga bisa dianggep 1 sebab panyerang luwih gampang ngincer jendhela, nanging iki ora bisa dipesthèkake. Volexity nunjukake yen saya LLM nyepetake riset cacat lan pangembangan eksploitasi, saya mundhak bebaya patch gap.
Akibat kanggo pangreksa: (1) Titik kontak kapisan panyerangan sing ditargetake yaiku «reflected XSS ing situs sing sah». Sadurunge pangreksan wates, wigati supaya XSS situs dhewe ora dadi undhakan rantai. (2) Kanggo rantai sing nyabrang browser lan OS bebarengan, isolasi browser (isolasi situs, sandbox sing dipeksa) lan deteksi endpoint loro-lorone duwe arti. (3) Patch gap ora bisa dicegah kanthi «kacepetan ngetrapake tambalan». Iki wilayah sing tim sing ngetutake komit hulu, lan pangati-ati sisih vendor sing nimbang risiko mbukak dandan sadurunge rilis, lagi wiwit kena. (4) Kanggo nyamar ekstensi kaya LONGTALE, ndhaftar ekstensi sing wis diinstal dadi langkah nyata. Hubungan fakta tulisan iki adhedhasar pawarta Volexity, The Hacker News, lan pawarta BleepingComputer, lan bagean analisis ditulis kapisah saka fakta.