Chrome Patch-Gap: Wie BlueMoon aus Bugfixes Zero-Days macht

Der Chrome Patch-Gap machte behobene Chromium-Fehler zu echten Zero-Days: drei CVEs, drei APT-Gruppen, eine Exploit-Kette – und klare Gegenmaßnahmen.

Der Chrome Patch-Gap ist kein theoretisches Problem mehr. Anfang September 2026 haben mehrere staatsnahe Angreifergruppen eine Exploit-Kette eingesetzt, die aus bereits behobenen Chromium-Fehlern funktionierende Zero-Days gegen Chrome-Nutzer machte. Die Sicherheitsfirma Volexity hat den zweiten Teil ihrer Analyse am 21. September 2026 veröffentlicht – und damit eine Lehre geliefert, die weit über den konkreten Fall hinausreicht.

Chrome Patch-Gap: Was passiert ist

Die Ausgangslage: Chromium ist Open Source. Ein Sicherheitsfix landet dort im öffentlichen Quellcode, bevor Google ein fertiges Chrome-Update ausliefert. Volexity beschreibt das Ergebnis so: Die Lücke sei „bekannt und upstream behoben“ gewesen, also auf Quellcode-Ebene ein N-Day – „aber es gab kein Patch-Release für Google-Chrome-Nutzer. Damit war der Exploit gegen Google Chrome faktisch ein Zero-Day.“ Mit mittlerer Zuversicht geht Volexity davon aus, dass der Entwickler der Kette die Bugfixes im Chromium-Quellcode rückwärts analysiert hat.

Die Kette selbst besteht aus drei Bausteinen:

CVE-2026-85046 – Type Confusion in der JavaScript-Engine V8. Sie verschafft beliebigen Lese- und Schreibzugriff innerhalb der V8-Sandbox. Behoben ab Chrome 152.0.7977.82, CVSS 8.8 (Sekundär-Score im NVD-Eintrag), im KEV-Katalog der CISA seit 4. September 2026.
CVE-2026-87491 – ein WebAssembly-Defekt, ebenfalls in V8. Damit bricht der Angreifer aus der V8-Sandbox aus. Behoben ab Chrome 153.0.8010.36, CVSS 8.8 im NVD (Google selbst stuft diesen Fehler nur als „Medium“ ein), KEV-Eintrag seit 9. September 2026.
CVE-2026-85880 – Heap-Überlauf in der Windows-Kernel-Komponente ALPC. Sie hebt die Rechte an und erlaubt den Ausbruch aus dem abgeschotteten Renderer-Prozess samt Codeinjektion in den Chrome-Browser-Prozess. CVSS 7.8 laut Microsoft, KEV-Eintrag seit 8. September 2026.

Wichtig für die realistische Einschätzung: Die Rechteausweitung lief nur bedingt. Laut Volexity führt das Kit diese Stufe nur aus, wenn der Prozess nicht ohnehin erhöht läuft und der Windows-Build im Zielbereich Windows 10 1809 bis 22H2, Server 2022 oder Windows 11 21H2 liegt. Alle Builds oberhalb 22000 wurden abgelehnt.

Den Namen BlueMoon trägt die Exploit-Sammlung von Proofpoint, nicht von Volexity. Proofpoint beobachtete sie bei mehreren voneinander unabhängigen Gruppen. Volexity dokumentierte im ersten Teil (9. September) die Akteure UTA0560 mit der Backdoor GRIMWEDGE und JungleBamboo mit SUPERSTOMP und der Chrome-Erweiterung LONGTALE. Teil zwei beschreibt nun eine dritte chinesische APT-Gruppe, UTA0565, die am 3. und 4. September zuschlug.

Deren Weg: Phishing-Mails mit Links auf nachgebaute Webseiten – chinadigitaltimes[.]top als Kopie von chinadigitaltimes.net, americanprgoress[.]top als Vertipper von americanprogress.org. Dort lag ein unsichtbarer Frame, der die Kette startete. Nachgeladen wurde chrome_cleanup.exe, das die Spionage-Software CLEANGULP nach %LOCALAPPDATA%\Microsoft\IME\MicrosoftIME.exe schreibt und sich über die geplante Aufgabe MicrosoftIME verankert. Sie beherrscht laut Volexity – auf Basis einer Teilanalyse – Shell-Befehle, Prozessliste, Datei-Up- und -Download sowie das Nachladen von Beacon Object Files. Als Steuerzentrale dient die hartcodierte Domain thecovnresation[.]com, ein Vertipper von theconversation.com. Belegt ist Phishing gegen asiatische Regierungsstellen; eine weitere Kampagne gab sich als US-Thinktank Center for American Progress aus, ohne dass die Empfänger benannt werden.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Die Opfer waren eng ausgewählt. Der Mechanismus dahinter ist es nicht – und genau der sollte Administratoren beschäftigen.

Open Source verkürzt die Angriffsvorbereitung. Wer den Chromium-Commit liest, sieht, was repariert wurde, und kann daraus einen Exploit bauen, bevor das Stable-Release beim Anwender ankommt. Das ist der Preis für öffentliche Entwicklung, und er lässt sich nicht wegdiskutieren. Verkürzen lässt sich nur das Zeitfenster auf der eigenen Seite.

„Wir sind aktuell“ stimmt bei Chrome oft nicht. Chrome lädt Updates im Hintergrund, wirksam werden sie erst nach einem Neustart des Browsers. In der Praxis laufen Chrome-Fenster wochenlang durch: Das Inventar meldet die neue Version, der laufende Prozess ist die alte. Aus CISO-Sicht ist das die unangenehmste Kennzahl in dieser Geschichte, weil sie in keinem Patch-Report auftaucht.

Die Sandbox ist eine Hürde, kein Schutzwall. Hier brauchte es zwei Ausbrüche hintereinander – erst aus der V8-Sandbox, dann aus dem Renderer-Prozess. Browser-Sicherheit endet deshalb nicht beim Browser: Ohne aktuellen Windows-Kernel wäre die zweite Hälfte der Kette gar nicht nötig gewesen. Die ALPC-Lücke war Teil des September-Patchdays; Microsoft markierte sie dort ausdrücklich als bereits ausgenutzt.

Was du jetzt konkret tun solltest

Browser-Neustart erzwingen statt erbitten: chrome://settings/help prüfen und mindestens 153.0.8010.36 laufen lassen. Im Unternehmen die Richtlinie RelaunchNotification auf „Required“ setzen und RelaunchNotificationPeriod von der Vorgabe einer Woche auf wenige Stunden kürzen – das Minimum liegt bei einer Stunde.
Windows-Patchstand gegen den September-Patchday abgleichen, CVE-2026-85880 muss enthalten sein.
Gezielt suchen: geplante Aufgabe MicrosoftIME oder Datei MicrosoftIME.exe unter %LOCALAPPDATA%\Microsoft\IME\. Beides gehört dort nicht hin.
Ausgehenden Verkehr zu thecovnresation[.]com in Proxy- und DNS-Protokollen prüfen.
Nach KEV priorisieren, nicht nach CVSS: Keine der drei Lücken erreicht eine 9er-Bewertung. Ausgenutzt wurden trotzdem alle drei.

Weil der Einstieg jedes Mal eine Phishing-Mail war, lohnt der Blick auf phishing-resistente Anmeldung: Welche Hardware-Schlüssel dafür taugen, steht im Ratgeber zu FIDO2-Sicherheitsschlüsseln.

Einordnung zur Vorgeschichte

CVE-2026-85046 war hier schon Thema, als sie noch als einzelner V8-Zero-Day geführt wurde. Erst die beiden Volexity-Berichte zeigen, wozu sie gehörte. Das ist der Normalfall: Die Einzelmeldung kommt zuerst, das Bild der vollständigen Kette Wochen später. Wer nur auf die Erstmeldung reagiert, patcht den Browser und lässt die Rechteausweitung stehen.

Quellen

Newsletter

Mehr Klartext, direkt ins Postfach

Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

Zur Anmeldung