Цепочка zero-day «разрыва исправления» — уязвимости, уже исправленные в Chromium и ещё не исправленные в Chrome, совместно использовались несколькими шпионскими группами за 1 неделю
Выяснилось, что цепочка атаки BlueMoon, связывающая выход из песочницы V8 в Chrome и злоупотребление ALPC в Windows, по наблюдению Volexity совместно использовалась по меньшей мере несколькими кластерами китайского происхождения. Мы разбираем опасность «разрыва исправления»: исправление вошло в Chromium, но ещё не отражено в стабильном выпуске Chrome.
Эта статья была переведена машиной.
15 сентября 2026 года Volexity сообщила, что кластер угроз, считающийся китайского происхождения (UTA0560), в целевой почтовой атаке 1 сентября против нескольких неправительственных организаций использовал цепочку атаки (названную BlueMoon), которая связывает уязвимости Google Chrome и Microsoft Windows. Ссылка в письме использует отражённый XSS сайта университета в США, чтобы увести на инфраструктуру под управлением атакующего, где разворачивается эксплойт в 3 этапа. Через CVE-2026-85046 достигается произвольное чтение и запись внутри песочницы V8, через CVE-2026-87491 выполняется выход из песочницы браузера, и наконец через CVE-2026-85880 злоупотребление Advanced Local Procedure Call (ALPC) в Windows приводит к внедрению кода в процесс Chrome и к произвольному выполнению кода. Volexity также указывает, что атакующий отфильтровывал всё, кроме Chrome в Windows (по сообщениям Volexity / The Hacker News).
Анализ (отделён от фактов): особо следует отметить «совместное использование» одной и той же цепочки эксплойта. По наблюдению Volexity, вблизи того момента, когда UTA0560 развернула бэкдор типа JavaScript под названием GRIMWEDGE (начальную точку опоры средней способности, которая принимает команды от C2 через eval), JungleBamboo (APT31) той же цепочкой развернула загрузчик SUPERSTOMP и в итоге внедрила похищающее сведения расширение Chrome LONGTALE, выдающее себя за подлинное расширение Google Gemini. В заголовках СМИ сообщается, что «4 шпионские группы за 1 неделю использовали один и тот же набор» (The Hacker News), и допускается возможность того, что разработчики восстановили эксплойт по разнице исходного кода Chromium и предоставили его нескольким кластерам. Устройство, при котором эксплойты обращаются как «изделия», означает, что обобщение поверхности атаки происходит быстро.
С технической стороны наиболее интересен разрыв исправления. Исправления 2 уязвимостей Chrome (CVE-2026-85046 / CVE-2026-87491) были заранее внесены в открытый исходный код Chromium, но ещё не входили в выпуск стабильного Chrome. У программного обеспечения с публичной историей коммитов риск восстановить атакующий код по разнице исправления присутствует всегда, однако данный случай является реальным примером того, как состояние, отличное и от обычного N-day, и от zero-day, — «исправлено выше по потоку, ещё не исправлено ниже по потоку» — было использовано в настоящей атаке. То, что цикл крупных выпусков Chrome до недавнего времени составлял 4 недели (сейчас он составляет 2 недели), также можно считать одним из факторов, из-за которых атакующим было легче целиться в окно, однако утверждать это окончательно нельзя. Volexity указывает, что чем сильнее LLM ускоряют исследование уязвимостей и разработку эксплойтов, тем выше опасность разрыва исправления.
Следствия для защищающейся стороны: (1) Первой точкой соприкосновения целевой атаки был «отражённый XSS легитимного сайта». Ещё до периметровой защиты становится важно не делать XSS собственного сайта ступенью цепочки. (2) Против цепочки, которая пересекает и браузер, и операционную систему, имеют смысл и изоляция браузера (Site Isolation и принудительная песочница), и обнаружение на конечной точке. (3) Разрыв исправления нельзя предотвратить «скоростью применения исправлений». Это область, где впервые действуют команда, которая отслеживает коммиты выше по потоку, и внимание стороны поставщика к риску опубликовать исправление до выпуска. (4) Против маскировки расширений вроде LONGTALE реалистичной мерой является инвентаризация установленных расширений. Фактическая сторона этой статьи основана на отчёте Volexity и на сообщениях The Hacker News и BleepingComputer; аналитическая часть написана отдельно от фактов.