«پیچ گیپ» زیرو ڈے زنجیر — Chromium میں درست، Chrome میں ابھی نہ درست شدہ کمزوریاں 1 ہفتے میں کئی جاسوسی گروہوں نے بانٹی
Chrome کے V8 سینڈ باکس سے خروج اور Windows ALPC کے غلط استعمال کو زنجیر بنانے والی BlueMoon حملہ زنجیر، Volexity کے مشاہدے میں، کم از کم کئی چین سے نسبت رکھنے والے کلسٹر بانٹ رہے تھے۔ Chromium میں اصلاح آ چکی تھی مگر مستحکم Chrome میں ابھی منعکس نہیں، اس «پیچ گیپ» کے خطرے کو ترتیب دیا جاتا ہے۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
15 ستمبر 2026 کو Volexity نے رپورٹ کیا کہ چین سے نسبت رکھنے والا سمجھا جانے والا تھریٹ کلسٹر (UTA0560) نے 1 ستمبر کو کئی NGO کو نشانہ بنانے والے نشانہ دار ای میل حملے میں Google Chrome اور Microsoft Windows کی کمزوریوں کو زنجیر بنانے والی حملہ زنجیر (BlueMoon نام) استعمال کی۔ ای میل کے اندر لنک نے ایک امریکی یونیورسٹی سائٹ کے ریفلیکٹڈ XSS کا غلط استعمال کر حملہ آور کے زیر کنٹرول انفراسٹرکچر کی طرف لے گیا، جہاں 3 مرحلوں کا ایکسپلائٹ کھلا۔ CVE-2026-85046 سے V8 سینڈ باکس کے اندر من مانا پڑھنا لکھنا حاصل ہوا، CVE-2026-87491 سے براؤزر سینڈ باکس سے خروج ہوا، اور آخر میں CVE-2026-85880 سے Windows کے Advanced Local Procedure Call (ALPC) کا غلط استعمال کر Chrome عمل میں کوڈ انجیکشن اور من مانا کوڈ ایگزیکیوشن ہوا۔ Volexity نے یہ بھی نشاندہی کی کہ حملہ آور Windows پر Chrome کے سوا کو خارج کرنے والا فلٹر لگا رہے تھے (Volexity / The Hacker News کی رپورٹ کے مطابق)۔
تجزیہ (حقائق سے الگ): قابل ذکر اسی ایکسپلائٹ زنجیر کا «بانٹا جانا» ہے۔ Volexity کے مشاہدے میں، UTA0560 کے GRIMWEDGE نامی JavaScript قسم کا بیک ڈور (C2 سے eval کے ذریعے حکم لینے والا درمیانی صلاحیت کا ابتدائی قدم) تعینات کرنے کے آس پاس، JungleBamboo (APT31) نے بھی اسی زنجیر سے لوڈر SUPERSTOMP تعینات کیا، اور آخر میں جائز Google Gemini ایکسٹینشن کا روپ دھار کر معلومات چوری Chrome ایکسٹینشن LONGTALE نصب کیا۔ میڈیا کی سرخیوں میں رپورٹ ہے کہ «4 جاسوسی گروہوں نے 1 ہفتے میں وہی کٹ استعمال کی» (The Hacker News)، اور یہ اشارہ دیا گیا ہے کہ کسی ڈویلپر نے Chromium کے ماخذ فرق سے ایکسپلائٹ دوبارہ بنا کر کئی کلسٹر کو دیا ہو۔ ایکسپلائٹ کے «مصنوع» کی طرح گردش کرنے کی ساخت کا مطلب ہے کہ حملے کی سطح کی عمومیت تیز ہے۔
فنی طور پر سب سے دلچسپ پیچ گیپ ہے۔ 2 Chrome کمزوریوں (CVE-2026-85046 / CVE-2026-87491) کی اصلاح Chromium کے اوپن سورس کوڈ میں پہلے کمٹ ہو چکی تھی، مگر مستحکم Chrome کی ریلیز میں ابھی شامل نہیں تھی۔ جس سافٹ ویئر کی کمٹ تاریخ عوامی ہے، وہاں اصلاح کے فرق سے حملہ کوڈ دوبارہ بنانے کا خطرہ ہمیشہ ساتھ رہتا ہے، مگر یہ معاملہ ایسی مثال ہے جس میں «اوپر درست، نیچے ابھی نہ درست» کی حالت — جو عام N-day سے بھی اور زیرو ڈے سے بھی مختلف ہے — حقیقی حملے میں استعمال ہوئی۔ Chrome کا بڑا ریلیز چکر حال تک 4 ہفتے تھا (اب 2 ہفتے)، جسے حملہ آوروں کے لیے کھڑکی کو نشانہ بنانا آسان کرنے کا ایک سبب مانا جا سکتا ہے، مگر اسے قطعی نہیں کہا جا سکتا۔ Volexity نشاندہی کرتا ہے کہ جتنا LLM کمزوری تحقیق اور ایکسپلائٹ ترقی کو تیز کرتے ہیں، پیچ گیپ کا خطرہ اتنا بڑھتا ہے۔
دفاعی پہلو کے مضمرات: (1) نشانہ دار حملے کا پہلا رابطہ «جائز سائٹ کا ریفلیکٹڈ XSS» تھا۔ سرحدی دفاع سے پہلے، اپنی سائٹ کے XSS کو زنجیر کی سیڑھی نہ بننے دینا اہم ہو جاتا ہے۔ (2) براؤزر اور OS دونوں کو پار کرنے والی زنجیر کے لیے، براؤزر علیحدگی (سائٹ علیحدگی، جبری سینڈ باکس) اور اینڈ پوائنٹ شناخت دونوں کا مطلب ہے۔ (3) پیچ گیپ «پیچ لگانے کی رفتار» سے نہیں روکا جا سکتا۔ یہ وہ علاقہ ہے جہاں اپ اسٹریم کمٹ کا پیچھا کرنے والی ٹیمیں اور ریلیز سے پہلے اصلاح کے افشا کے خطرے پر فروش کی احتیاط پہلی بار مؤثر ہوتی ہے۔ (4) LONGTALE جیسی ایکسٹینشن بھیس کے لیے، نصب ایکسٹینشن کی فہرست عملی جوابی تدبیر ہے۔ اس مضمون کے حقائق Volexity کی رپورٹ، The Hacker News، اور BleepingComputer کی رپورٹ پر مبنی ہیں، اور تجزیہ حصہ حقائق سے الگ لکھا گیا ہے۔