BlueMoon: un exploit kit concatena Chrome e Windows per uscire dal browser e prendere il controllo del PC

Un link aperto con Chrome può trasformarsi in un punto d’ingresso capace di superare le protezioni del browser, ottenere privilegi elevati su Windows e avviare malware senza chiedere alla vittima di scaricare manualmente alcun file. È la catena d’attacco individuata nelle campagne che impiegano BlueMoon, un exploit kit osservato tra la fine di agosto e l’inizio di settembre 2026 da Proofpoint e Volexity.

Gli aggressori hanno concatenato due falle nel motore V8 di Chromium con un problema nel kernel Windows, costruendo un percorso che parte dal codice JavaScript di una pagina web e arriva all’esecuzione di comandi fuori dalla sandbox del browser.

Gli exploit kit destinati ad aggredire i browser web non sono una novità: negli anni di Internet Explorer e dei plugin come Flash e Java rappresentavano uno strumento comune anche per il cybercrime di massa; con il rafforzamento delle sandbox, l’isolamento dei processi e gli aggiornamenti automatici, costruire una catena affidabile è diventato molto più costoso. BlueMoon merita quindi attenzione proprio per il modo in cui combina vulnerabilità recentissime, componenti modulari e una finestra temporale particolarmente insidiosa tra la pubblicazione di correzioni nel codice Chromium e il loro arrivo nelle versioni stabili distribuite agli utenti.

Tre vulnerabilità trasformano una pagina web in una catena completa d’attacco

BlueMoon combina tre vulnerabilità con funzioni diverse. CVE-2026-85046 permette all’attaccante di manipolare la memoria del motore JavaScript V8; CVE-2026-87491 consente di oltrepassare la sandbox interna di V8 sfruttando strutture WebAssembly (questi due problemi di sicurezza sono stati risolti a inizio settembre e con il rilascio di Chrome 153); CVE-2026-85880 interviene sul lato Windows e consente un’elevazione locale dei privilegi attraverso il sottosistema ALPC. Microsoft ha risolto quest’ultimo problema nel corso del Patch Tuesday di settembre 2026.

Nessuno di questi problemi di sicurezza, preso isolatamente, fornisce il risultato finale desiderato dall’aggressore.

La prima vulnerabilità concede primitive di lettura e scrittura nella memoria gestita da V8, ma il codice rimane imbrigliato dalle protezioni del browser. La seconda apre la strada all’esecuzione di shellcode. La terza affronta l’ultimo ostacolo: il renderer di Chrome gira con privilegi fortemente limitati e deve quindi trovare un modo per raggiungere un processo con capacità superiori.

È proprio l'”unione” delle tre falle a rendere BlueMoon interessante dal punto di vista tecnico.

Una descrizione dell’attacco BlueMoon, così come schematizzata da Volexity.

Il problema del patch gap: la correzione c’era, ma non nella versione stabile del browser

Uno degli aspetti più rilevanti dell’intera vicenda riguarda il tempo trascorso tra la disponibilità della correzione nel progetto Chromium e la sua distribuzione agli utenti.

La falla CVE-2026-85046 fu segnalata al progetto Chromium il 4 agosto 2026; Proofpoint rileva che il cambiamento contenente la correzione è entrato nel repository pubblico già il 7 agosto, quindi a strettissimo giro, mentre la versione stabile destinata agli utenti finali ha continuato a usare il codice vulnerabile fino all’inizio di settembre.

Si crea così quello che Google e i ricercatori chiamano patch gap. La vulnerabilità non è più sconosciuta: chi confronta le revisioni può vedere quali righe gli sviluppatori hanno modificato e iniziare a dedurre il difetto originale. Sui PC degli utenti, però, l’ultima versione stabile del browser contiene ancora la vulnerabilità.

Volexity descrive bene l’anomalia: la falla poteva già essere considerata una N-day nel codice Chromium pubblico, ma continuava a comportarsi come una zero-day nel caso di Chrome Stable perché gli utenti non disponevano ancora dell’aggiornamento.

BlueMoon verifica la versione di Windows prima di colpire il kernel

La parte Windows dell’attacco è meno universale di quella Chrome. Il modulo per l’elevazione dei privilegi di BlueMoon prende di mira build precise: Windows 10 1809, le build 19041-19045 che coprono varie versioni da Windows 10 2004 a 22H2, Windows Server 2022 build 20348 e la prima versione di Windows 11, build 22000.

Le build successive alla 22000 non rientrano nel set previsto dall’exploit osservato dai ricercatori. Di conseguenza, avere un browser vulnerabile non significa automaticamente che l’intera catena possa completarsi su qualsiasi PC Windows aggiornato.

CVE-2026-85880 riguarda Windows Advanced Local Procedure Call, ALPC, uno dei meccanismi usati internamente da Windows per la comunicazione tra processi. Microsoft descrive il problema come un heap-based buffer overflow capace di permettere a un attaccante locale autorizzato di acquisire privilegi estesi.

Più gruppi usano lo stesso exploit ma installano malware differenti

Proofpoint ha collegato BlueMoon a quattro cluster di attività orientati allo spionaggio.

La maggioranza presenta legami attribuiti o sospetti con operatori cinesi, ma i ricercatori evitano di concludere che il kit appartenga esclusivamente a una singola struttura statale. Anzi, la rapidità con cui lo stesso codice compare presso operatori distinti apre una domanda interessante: chi distribuisce realmente BlueMoon?

Volexity ha trovato shellcode identico byte per byte in campagne attribuite a gruppi differenti. Una possibilità è l’esistenza di uno sviluppatore comune; un’altra riguarda un intermediario che vende o fornisce exploit a più operatori. Il modello dell’exploit broker non sarebbe affatto insolito: vulnerabilità e catene pronte all’uso possono circolare separatamente dalle infrastrutture e dai malware utilizzati nelle singole operazioni.

Proofpoint segnala anche elementi compatibili con uno sviluppo assistito da strumenti AI: commenti estremamente dettagliati, tracciamento estremamente dettagliato delle varie operazioni eseguite dal codice, riferimenti alle iterazioni precedenti e persino la menzione di un documento Markdown usato apparentemente per trasferire cronologia e decisioni tra sessioni di sviluppo.

È una pista interessante, ma non una prova. Gli stessi ricercatori sottolineano che nessun artefatto permette di affermare con certezza che BlueMoon sia nato per opera di un agente AI.

Quali versioni di Chrome chiudono le vulnerabilità

Google ha corretto CVE-2026-85046 portando Chrome alla serie 152.0.7977.82/.83 su Windows e macOS e 152.0.7977.82 su Linux. Pochi giorni dopo è arrivata la correzione per CVE-2026-87491 con Chrome 153.0.8010.36 su Windows e Linux e 153.0.8010.37 su macOS.

Per chi gestisce postazioni aziendali, guardare soltanto il numero di versione del sistema operativo non basta. Il rischio coinvolge anche gli altri browser basati su Chromium, che devono integrare le rispettive correzioni upstream. Edge, Brave, Opera, Vivaldi e altri prodotti possono avere calendari di rilascio leggermente differenti rispetto a Chrome.

Microsoft, dal canto suo, ha corretto CVE-2026-85880 con gli aggiornamenti di sicurezza di settembre 2026.

La priorità operativa è quindi doppia: portare i browser Chromium a build che contengano entrambe le correzioni V8 e applicare gli aggiornamenti Windows, soprattutto sui sistemi ancora basati sulle build esplicitamente prese di mira dall’exploit.