Ranté zero-day «sela tambalan» — kalemahan anu geus dilereskeun dina Chromium nanging acan dina Chrome dianggo babarengan ku sababaraha kelompok mata-mata dina 1 pekan
Katingal yén ranté serangan BlueMoon, anu ngagantengkeun kaluar tina sandbox V8 Chrome jeung panyalahgunaan ALPC Windows, dianggo babarengan sahenteuna ku sababaraha kluster anu disebut asalna ti China numutkeun observasi Volexity. Lereskeun geus asup ka Chromium nanging acan kacermin dina Chrome stabil, jeung urang nyusun bahaya «sela tambalan» ieu.
Artikel ieu ditarjamahkeun ku mesin.
Dina 15 Séptémber 2026, Volexity ngalaporkeun kluster ancaman UTA0560, anu disebut asalna ti China, nganggo serangan surélék anu ditargét dina 1 Séptémber ka sababaraha NGO, ranté serangan (anu disebut BlueMoon) anu ngaranté kalemahan Google Chrome jeung Microsoft Windows. Tutumbu dina surélék ngéksploitasi XSS pantul dina situs universitas Amérika Serikat pikeun ngarahkeun ka infrastruktur anu dikawasa ku panyerang, jeung di dinya éksploitasi 3 tahap dipasang. Kalayan CVE-2026-85046 maranéhna meunang maca jeung nulis sawenang di jero sandbox V8, kalayan CVE-2026-87491 kaluar tina sandbox browser, jeung panungtung kalayan CVE-2026-85880 nyalahgunakeun Advanced Local Procedure Call (ALPC) Windows pikeun nyuntikkeun kode kana prosés Chrome jeung dugi ka éksekusi kode sawenang. Volexity ogé nunjukkeun yén panyerang nyaring kaluar naon waé salian ti Chrome dina Windows (numutkeun laporan Volexity / The Hacker News).
Analisis (dipisahkeun tina fakta): anu pantes dicatet nyaéta «pamakéan babarengan» ranté éksploitasi anu sami. Numutkeun observasi Volexity, di sabudeureun waktos UTA0560 masang backdoor jenis JavaScript anu disebut GRIMWEDGE (pijakan awal kamampuan sedeng anu nampi paréntah ku eval ti C2), JungleBamboo (APT31) ogé masang loader SUPERSTOMP kalayan ranté anu sami, jeung panungtung masang éksténsi Chrome maling inpormasi LONGTALE anu nyamar minangka éksténsi Google Gemini anu sah. Judul média ngalaporkeun yén «4 kelompok mata-mata nganggo kit anu sami dina 1 pekan» (The Hacker News), jeung éta nunjukkeun kamungkinan pamekar ngawangun deui éksploitasi tina bédana sumber Chromium jeung masihan ka sababaraha kluster. Struktur tempat éksploitasi muter kawas «produk» hartina généralisasi permukaan serangan gancang.
Tina sisi téknis, anu pangnarikna nyaéta sela tambalan. Lereskeun pikeun 2 kalemahan Chrome (CVE-2026-85046 / CVE-2026-87491) geus dikomit leuwih tiheula dina kode sumber terbuka Chromium, nanging acan asup ka rilis Chrome stabil. Dina parangkat lunak anu riwayat commit umum, résiko ngawangun deui kode serangan tina bédana lereskeun sok nuturkeun, nanging kasus ieu conto kaayaan «geus dilereskeun di hulu, acan dilereskeun di hilir» — béda ti N-day biasa jeung ti zero-day — dianggo dina serangan nyata. Siklus rilis utama Chrome anu dugi ka anyar-anyar ieu 4 pekan (ayeuna 2 pekan) tiasa jadi salah sahiji sabab anu ngagampangkeun panyerang ngarahkeun jandela, nanging ieu teu tiasa dipastikeun. Volexity nunjukkeun yén beuki LLM ngagancangkeun panalungtikan kalemahan jeung pangwangunan éksploitasi, beuki naék tingkat bahaya sela tambalan.
Implikasi pikeun sisi pertahanan: (1) Kontak kahiji serangan anu ditargét nyaéta «XSS pantul dina situs anu sah». Saméméh pertahanan wates, penting sangkan XSS situs sorangan ulah jadi batu injakan dina ranté. (2) Ngalawan ranté anu meuntas browser jeung OS, isolasi browser (pamisahan situs, sandbox anu dipaksa) jeung detéksi titik ahir duanana gaduh harti. (3) Sela tambalan teu tiasa dicegah ku «kagancangan nerapkeun tambalan». Ieu wilayah tempat tim anu ngalacak commit hulu, jeung tinimbangan vendor ngeunaan résiko muka lereskeun saméméh rilis, mimiti jalan. (4) Ngalawan nyamar éksténsi sapertos LONGTALE, inventaris éksténsi anu dipasang nyaéta léngkah praktis. Fakta artikel ieu dumasar laporan Volexity, The Hacker News, jeung BleepingComputer, jeung bagian analisis ditulis papisah tina fakta.