I ricercatori di Proofpoint hanno scoperto un nuovo kit di exploit BlueMoon che combina tre vulnerabilità in Chrome e Windows in una singola catena . Secondo gli esperti, lo strumento è stato ottenuto quasi contemporaneamente da almeno quattro gruppi di spionaggio, la maggior parte dei quali è collegata alla Cina. BlueMoon sfrutta due nug nel motore JavaScript del browser V8, nonché una vulnerabilità di escalation dei privilegi in Windows. Inizialmente, gli attaccanti utilizzano un bug di tipo type confusion recentemente corretto in V8 ( CVE-2026-85046 ) per eseguire codice arbitrario, quindi sfruttano un’altra vulnerabilità recente ( CVE-2026-87491 ) per bypassare la sandbox di V8. Successivamente, viene applicato il bug CVE-2026-85880 nel meccanismo Windows ALPC, che consente di elevare…