«पॅच गॅप» शून्य-दिवस साखळी — Chromium मध्ये दुरुस्त, Chrome मध्ये अद्याप न दुरुस्त झालेल्या भेद्यता 1 आठवड्यात अनेक हेरगिरी गटांनी सामायिक केल्या
Chrome च्या V8 सँडबॉक्स निर्गमनाला आणि Windows ALPC गैरवापराला साखळीत जोडणारी BlueMoon हल्ला साखळी, Volexity च्या निरीक्षणात, किमान अनेक चीन-उगम क्लस्टरनी सामायिक केली होती. Chromium मध्ये दुरुस्ती आली होती पण स्थिर Chrome मध्ये अद्याप प्रतिबिंबित नव्हती, या «पॅच गॅप»चा धोका मांडला जातो.
हा लेख मशीनने अनुवादित केला आहे.
15 सप्टेंबर 2026 रोजी Volexity ने अहवाल दिला की चीन-उगम मानल्या जाणाऱ्या थ्रेट क्लस्टरने (UTA0560) 1 सप्टेंबर रोजी अनेक NGO ला लक्ष्य करणाऱ्या लक्ष्यित ईमेल हल्ल्यात Google Chrome आणि Microsoft Windows च्या भेद्यता साखळीत जोडणारी हल्ला साखळी (BlueMoon नाव) वापरली. ईमेलमधील दुव्याने एका अमेरिकन विद्यापीठ साइटचा रिफ्लेक्टेड XSS गैरवापर करून हल्लेखोर-नियंत्रित पायाभूत सुविधेकडे नेले, जिथे 3-टप्प्यांचा एक्सप्लॉइट उलगडला. CVE-2026-85046 ने V8 सँडबॉक्समध्ये मनमाना वाचन-लेखन मिळवले, CVE-2026-87491 ने ब्राउझर सँडबॉक्समधून निर्गमन केले, आणि शेवटी CVE-2026-85880 ने Windows च्या Advanced Local Procedure Call (ALPC) चा गैरवापर करून Chrome प्रक्रियेत कोड इंजेक्शन आणि मनमाना कोड एक्झिक्यूशन केले. Volexity ने हेही निदर्शनास आणले की हल्लेखोर Windows वर Chrome व्यतिरिक्त वगळणारा फिल्टर लावत होते (Volexity / The Hacker News च्या अहवालानुसार).
विश्लेषण (तथ्यांपासून वेगळे): उल्लेखनीय तीच एक्सप्लॉइट साखळीचे «सामायिक होणे» आहे. Volexity च्या निरीक्षणात, UTA0560 ने GRIMWEDGE नावाचा JavaScript प्रकारचा बॅकडोअर (C2 कडून eval ने आदेश घेणारा मध्यम क्षमतेचा सुरुवातीचा पायरोखण) तैनात केल्याच्या आसपास, JungleBamboo (APT31) नेही त्याच साखळीने लोडर SUPERSTOMP तैनात केला, आणि शेवटी वैध Google Gemini एक्सटेंशनचे रूप घेऊन माहिती-चोरी Chrome एक्सटेंशन LONGTALE स्थापित केले. माध्यमांच्या मथळ्यांत अहवाल आहे की «4 हेरगिरी गटांनी 1 आठवड्यात तीच किट वापरली» (The Hacker News), आणि सुचवले गेले आहे की एखाद्या डेव्हलपरने Chromium च्या स्रोत फरकातून एक्सप्लॉइट पुनर्निर्मित करून अनेक क्लस्टरना दिला असावा. एक्सप्लॉइट «उत्पादन»सारखा फिरण्याची रचना म्हणजे हल्ला पृष्ठभागाचे सामान्यीकरण जलद आहे.
तांत्रिकदृष्ट्या सर्वात मनोरंजक पॅच गॅप आहे. 2 Chrome भेद्यतांच्या (CVE-2026-85046 / CVE-2026-87491) दुरुस्ती Chromium च्या ओपन-सोर्स कोडमध्ये आधी कमिट झाल्या होत्या, पण स्थिर Chrome च्या रिलीझमध्ये अजून समाविष्ट नव्हत्या. ज्या सॉफ्टवेअरचा कमिट इतिहास सार्वजनिक आहे, तिथे दुरुस्ती फरकातून हल्ला कोड पुनर्निर्मित करण्याचा धोका नेहमी सोबत असतो, पण हा प्रसंग असा उदाहरण आहे जिथे «वर दुरुस्त, खाली अद्याप न दुरुस्त» ही अवस्था — जी सामान्य N-day पेक्षाही आणि शून्य-दिवसापेक्षाही वेगळी आहे — प्रत्यक्ष हल्ल्यात वापरली गेली. Chrome चे प्रमुख रिलीझ चक्र अलीकडेपर्यंत 4 आठवडे होते (आता 2 आठवडे), जे हल्लेखोरांना खिडकी लक्ष्य करणे सोपे करण्याचे एक कारण मानता येईल, पण हे निश्चित म्हणता येत नाही. Volexity निदर्शनास आणते की LLM भेद्यता संशोधन आणि एक्सप्लॉइट विकास जितके जलद करतात, पॅच गॅपचा धोका तितका वाढतो.
संरक्षण बाजूचे परिणाम: (1) लक्ष्यित हल्ल्याचा पहिला संपर्क «वैध साइटचा रिफ्लेक्टेड XSS» होता. सीमा संरक्षणापूर्वी, स्वतःच्या साइटच्या XSS ला साखळीचे पाऊल न होऊ देणे महत्त्वाचे ठरते. (2) ब्राउझर आणि OS दोन्ही ओलांडणाऱ्या साखळीसाठी, ब्राउझर विलगता (साइट विलगता, सक्तीचा सँडबॉक्स) आणि एंडपॉइंट ओळख दोन्हींचा अर्थ आहे. (3) पॅच गॅप «पॅच लावण्याच्या वेगाने» रोखता येत नाही. हा तो प्रदेश आहे जिथे अपस्ट्रीम कमिट मागोवा घेणारे पथक आणि रिलीझपूर्वी दुरुस्तीच्या प्रकटीकरण धोक्याबाबत विक्रेता बाजूची काळजी प्रथम परिणामकारक होते. (4) LONGTALE सारख्या एक्सटेंशन वेशासाठी, स्थापित एक्सटेंशनची यादी व्यावहारिक प्रतिउपाय आहे. या लेखातील तथ्ये Volexity च्या अहवालावर, The Hacker News वर, आणि BleepingComputer च्या अहवालावर आधारित आहेत, आणि विश्लेषण भाग तथ्यांपासून वेगळा लिहिला आहे.