兩組中國駭客串連 Chrome 與 Windows 零時差漏洞，部署後門與竊資軟體

資安業者揭露的漏洞利用工具包 BlueMoon，其開發者串連了多個零時差漏洞形成完整攻擊鏈：包含 Chrome 的類型混淆漏洞 CVE-2026-85046、當時尚未登記 CVE 編號的沙箱逃逸漏洞，以及 Windows 權限提升漏洞 CVE-2026-85880，最終用於部署後門與竊資軟體。

漏洞鏈的設計反映了現代瀏覽器的防禦深度。單一的瀏覽器漏洞在今天已不足以造成實質危害——瀏覽器將網頁內容的處理隔離在沙箱程序中，即使攻擊者成功執行程式碼，其權限也被侷限在沙箱之內，無法存取檔案系統或其他程序。

因此完整的攻擊需要三個階段。第一步是在瀏覽器的轉譯程序中取得執行能力，類型混淆漏洞正是常見的入口；第二步是逃出沙箱，取得與使用者相同的權限；第三步則是權限提升，從一般使用者權限取得系統層級的控制，以便安裝後門並隱藏蹤跡。

每一個環節都需要獨立的漏洞，而同時掌握三個可用的零時差漏洞，代表相當可觀的投入。這類能力的取得途徑有限——自行研究需要長期的專業團隊，而向漏洞交易市場購買則需要充裕的預算；無論哪一種，都指向具備組織與資源的行為者。

工具包化則放大了影響範圍。當這些漏洞被封裝成可重複使用的工具，原本需要高階技術能力才能執行的攻擊，就能被多個團體分別運用於不同目標；資安業者指出至少四組受國家資助的團體使用同一套工具，正說明了這種擴散效應。

後續觀察重點在於修補的普及速度與攻擊活動的持續性。相關漏洞已陸續修補，但瀏覽器與作業系統的更新採用率從來不是即時的；而在未更新的裝置上，這套攻擊鏈仍然完全有效，這也是這類事件的長尾風險所在。