ב-28 באוגוסט שלחה קבוצת תקיפה סינית המוכרת בשם APT31 מיילים ממוקדים עם קישור. מי שלחץ קיבל דף שהריץ קוד בתוך הדפדפן, פרץ החוצה ממנו, והשתלט על המחשב. עד ה-3 בספטמבר, פחות משבוע אחר כך, שלוש קבוצות תקיפה נוספות ירו בדיוק את אותה שרשרת. חוקרי חברת Proofpoint, שנתנו לערכה את השם BlueMoon, כותבים שהם לא יודעים איך היא הגיעה לכולן.

מה קרה

הערכה מורכבת משלושה חלקים. הראשון הוא חולשה במנוע V8, הרכיב ב-Chrome שמריץ את הקוד של האתרים שאתם גולשים אליהם, שמסומנת CVE-2026-85046. השני הוא חולשה נוספת באותו מנוע, שעדיין לא קיבלה מספר, ותפקידה לפרוץ את ארגז החול של הדפדפן, אותו תא מבודד שאמור למנוע מקוד של אתר לגעת בשאר המחשב. השלישי הוא חולשה בווינדוס עצמה, CVE-2026-85880, שמעלה את ההרשאות של הקוד שכבר רץ. מהרגע הזה התוקף מריץ על המחשב מה שהוא רוצה.

הנקודה המעניינת היא איך שתי החולשות ב-Chrome נמצאו. הקוד של Chromium, הבסיס שעליו בנוי Chrome, פתוח לציבור, והתיקונים נכנסים אליו לפני שהם מגיעים למשתמשים בגרסה היציבה. מי שעוקב אחרי השינויים בקוד יכול לראות מה בדיוק תוקן, להסיק מה הייתה החולשה, ולבנות נגדה ניצול עובד. בזמן הזה מיליוני משתמשים עדיין מריצים את הגרסה החשופה. לפער הזה קוראים patch gap, ושתי החולשות שבערכה נוצלו בדיוק בתוכו.

Proofpoint מייחסת שלוש מארבע הקבוצות לסין, ורביעית נשארה אצלה בלי שיוך. את הקורבנות היא מתארת כארגוני חברה אזרחית, חברות כרייה וסחר בסחורות, חברות תעופה וחלל אמריקאיות, ויצרניות בווייטנאם, לצד גופי ממשל ופיננסים באינדונזיה ובסינגפור. כמה מהמתקפות הצליחו בפועל, החברה לא אומרת.

למה זה חשוב לכם

רשימת הקורבנות הזאת לא כוללת אתכם, וזה נכון. מה שכן נוגע לכם הוא שתי החולשות עצמן, כי הן נמצאות ב-Chrome ובווינדוס, כלומר בדיוק בתוכנות שרצות על המחשב שלכם עכשיו. ערכות ניצול לא נשארות אצל קבוצות ריגול לאורך זמן, ובחודשים שאחרי פרסום כזה אותן חולשות מופיעות אצל שולחי נוזקות רגילים שמחפשים כרטיסי אשראי וסיסמאות. שני התיקונים כבר קיימים, אז ההפרש בין מחשב חשוף למחשב מוגן הוא כמה דקות.

מה עושים?

עדכנו את Chrome ידנית במקום לחכות: בתפריט שלוש הנקודות בחרו עזרה, ואז אודות Google Chrome. הדפדפן יוריד את העדכון לבד ויבקש להפעיל מחדש.

הפעילו מחדש בפועל. עדכון שהורד ולא הופעל אינו מותקן, וזאת הסיבה הנפוצה ביותר שמחשב נשאר חשוף לחולשה שתוקנה לפני שבועיים.

התקינו את עדכוני ווינדוס של ספטמבר, דרך הגדרות ואז Windows Update. החולשה בווינדוס תוקנה שם.

אם אתם משתמשים ב-Edge, ב-Brave או בדפדפן אחר שבנוי על Chromium, עדכנו גם אותו. אותו מנוע, אותה חולשה.

ההדבקה כאן לא התחילה בחולשה אלא במייל עם קישור, וזה תמיד השלב שבו אפשר לעצור אותה בלי שום עדכון.