In questo articolo Indice dei contenuti 2 sezioni
Basta aprire un link con Chrome e, in determinate condizioni, il gioco è fatto: BlueMoon è il nome dell’exploit kit che tra fine agosto e inizio settembre 2026 è riuscito a scavalcare le protezioni del browser, guadagnare privilegi elevati su Windows e avviare codice malevolo senza che la vittima scaricasse nulla a mano. La catena è stata documentata dai ricercatori di Proofpoint e Volexity, che hanno ricostruito un percorso che parte da poche righe di JavaScript su una pagina web e finisce fuori dalla sandbox, dentro il sistema operativo.
Gli exploit kit contro i browser non sono una novità assoluta. Ai tempi di Internet Explorer, di Flash e di Java erano quasi un genere letterario del cybercrime. Poi sono arrivati l’isolamento dei processi, le sandbox più rigide e gli aggiornamenti automatici, e mettere insieme una catena funzionante è diventato un lavoro costoso. BlueMoon interessa proprio per questo: unisce falle freschissime, moduli separati e una finestra temporale scomoda tra la pubblicazione delle correzioni nel codice di Chromium e la loro effettiva distribuzione agli utenti.
Tre falle che da sole non bastano, insieme sì
Il meccanismo poggia su tre vulnerabilità con ruoli diversi. CVE-2026-85046 permette di manipolare la memoria gestita dal motore JavaScript V8, CVE-2026-87491 consente di oltrepassare la sandbox interna di V8 sfruttando strutture WebAssembly, e questi due problemi sono stati chiusi a inizio settembre con il rilascio di Chrome 153. La terza, CVE-2026-85880, agisce sul versante Microsoft e apre a un’elevazione locale dei privilegi tramite il sottosistema ALPC, corretta nel Patch Tuesday di settembre 2026.
Prese una alla volta, nessuna di queste falle porta l’aggressore dove vuole arrivare. La prima concede lettura e scrittura in memoria, ma il codice resta intrappolato nelle protezioni del browser. La seconda spiana la strada all’esecuzione di shellcode. La terza risolve l’ultimo problema, perché il renderer di Chrome gira con privilegi ridotti al minimo e ha bisogno di agganciarsi a un processo più potente. L’unione dei tre pezzi è ciò che rende la catena tecnicamente notevole.
C’è poi il nodo del patch gap, forse l’aspetto più fastidioso di tutta la vicenda. CVE-2026-85046 è stata segnalata al progetto Chromium il 4 agosto 2026 e la correzione è finita nel repository pubblico già il 7 agosto, tre giorni dopo. Il canale stabile, quello che finisce sui computer di tutti, ha continuato a usare codice vulnerabile fino ai primi giorni di settembre. Chiunque confronti le revisioni pubbliche può vedere quali righe sono state toccate e risalire al difetto. Come nota Volexity, nel codice pubblico era ormai una N-day, ma per chi usava Chrome Stable si comportava ancora come una zero-day.
Il modulo Windows colpisce solo alcune build
La parte che riguarda Windows è meno estesa di quanto si potrebbe temere. Il modulo per l’elevazione dei privilegi punta a build precise: Windows 10 1809, le build dalla 19041 alla 19045 che coprono le versioni da 2004 a 22H2, Windows Server 2022 build 20348 e la prima release di Windows 11, build 22000. Tutto ciò che viene dopo la 22000 resta fuori dal raggio d’azione dell’exploit osservato. Avere un browser vulnerabile, quindi, non significa che la catena si completi su qualunque macchina. CVE-2026-85880 tocca l’Advanced Local Procedure Call, uno dei canali interni di comunicazione tra processi, e Microsoft la descrive come un heap-based buffer overflow sfruttabile da un attaccante locale autorizzato.
Proofpoint ha ricondotto BlueMoon a quattro cluster di attività orientati allo spionaggio, in larga parte con legami attribuiti o sospettati con operatori cinesi. I ricercatori però non se la sentono di dire che il kit appartenga a una sola struttura. Volexity ha trovato shellcode identico byte per byte in campagne attribuite a gruppi diversi, il che lascia aperte due ipotesi: uno sviluppatore comune oppure un intermediario che rivende catene pronte all’uso a più clienti. Ci sono anche indizi compatibili con uno sviluppo assistito da strumenti di intelligenza artificiale, tra commenti maniacali, tracciamento minuzioso delle operazioni e perfino un documento Markdown usato per trasferire cronologia e decisioni tra sessioni. Indizi, appunto, non prove.
Sul fronte delle correzioni, Google ha chiuso CVE-2026-85046 con le build 152.0.7977.82/.83 su Windows e macOS e 152.0.7977.82 su Linux, poi ha sistemato CVE-2026-87491 con Chrome 153.0.8010.36 su Windows e Linux e 153.0.8010.37 su macOS. Vale anche per gli altri browser basati su Chromium, da Edge a Brave, Opera e Vivaldi, che integrano le correzioni upstream con tempistiche proprie. Gli aggiornamenti di sicurezza Microsoft di settembre 2026 completano il quadro sul lato sistema operativo.
