「パッチギャップ」ゼロデイ連鎖 — Chromium 直済・Chrome 未修正の脆弱性が 1 週間で複数のスパイグループに共用された

2026 年 9 月 15 日、Volexity は中国発とされる脅威クラスタ (UTA0560) が、9 月 1 日に複数の NGO を標的とした標的型メール攻撃で、Google Chrome と Microsoft Windows の脆弱性を連鎖させる攻撃チェーン (BlueMoon と呼称) を使用したと報告した。メール内のリンクは米国の大学サイトの反射型 XSS を悪用して攻撃者管理のインフラへ誘導し、そこで 3 段階のエクスプロイトが展開される。CVE-2026-85046 で V8 サンドボックス内の任意読み書きを獲得し、CVE-2026-87491 でブラウザサンドボックスを脱出し、最後に CVE-2026-85880 で Windows の Advanced Local Procedure Call (ALPC) を悪用して Chrome プロセスへのコード注入・任意コード実行に至る。Volexity は、攻撃者が Windows 上の Chrome 以外を除外フィルタしていた点も指摘している (Volexity / The Hacker News の報道による)。

分析 (事実と分離): 特筆すべきは同じエクスプロイトチェーンの「共用」である。Volexity の観測では、UTA0560 が GRIMWEDGE という JavaScript 型バックドア (C2 から eval で命令を受ける中程度の能力を持つ初期足掛かり) を展開したのと前後して、JungleBamboo (APT31) も同一チェーンでローダ SUPERSTOMP を展開し、最終的に正規の Google Gemini 拡張を偽装した情報窃取 Chrome 拡張 LONGTALE を導入していた。メディアの見出しでは「4 つのスパイグループが 1 週間で同一キットを使用した」と報じられており (The Hacker News)、開発者が Chromium のソース差分からエクスプロイトを再構築し、複数クラスタへ提供した可能性が示唆されている。エクスプロイトが「製品」のように流通する構造は、攻撃面の一般化が速いことを意味する。

技術的に最も興味深いのはパッチギャップである。2 件の Chrome 脆弱性 (CVE-2026-85046 / CVE-2026-87491) の修正は Chromium のオープンソースコードには先行コミットされていたが、安定版 Chrome のリリースにはまだ含まれていなかった。コミット履歴が公開されているソフトウェアでは、修正差分から攻撃コードを再構築するリスクが常につきまとうが、本件は「上流では修正済み・下流では未修正」という通常の N-day ともゼロデイとも異なる状態が実攻撃に使われた実例である。Chrome のメジャーリリースサイクルが直近まで 4 週間だったこと (現在は 2 週間) も、攻撃者が窓を狙いやすかった一因と考えられるが、これを断定することはできない。Volexity は、LLM が脆弱性研究・エクスプロイト開発を高速化するほどパッチギャップの危険度が増すと指摘している。

防御側への含意: (1) 標的型攻撃の最初の接点は「正規サイトの反射型 XSS」であった。境界防御の前に、自サイトの XSS をチェーンの踏み台にしないことが重要になる。(2) ブラウザと OS の両方をまたぐ連鎖に対しては、ブラウザの隔離 (サイト分離・強制サンドボックス) とエンドポイント検知の双方が意味を持つ。(3) パッチギャップは「パッチ適用の速さ」では防げない。上流コミットを追跡するチームや、リリース前の修正の公開リスクを考慮したベンダー側の配慮が初めて効く領域である。(4) LONGTALE のような拡張機能偽装に対しては、インストール済み拡張の棚卸しが現実的な対策となる。なお本稿の事実関係は Volexity の報告、The Hacker News、BleepingComputer の報道に基づき、分析部分は事実と分けて記述している。