Верига от логически уязвимости, без компрометиране на паметта, може да превърне злонамерена уеб страница в изпълним код на компютър с Windows извън изолираната среда на Microsoft Edge, демонстрира изследовател по сигурността.

Ориндж Цай (Orange Tsai) от DEVCORE публикува пълния метод на 28 октомври, пет месеца след като веригата спечели 175 000 долара на състезанието Pwn2Own в Берлин през май. Microsoft коригира уязвимостите в Edge още в деня след състезанието, така че актуализираният браузър не е изложен на риск.

Изолираната среда (пясъчник) на браузъра е преградата, която задържа кода на уеб страницата вътре в браузъра и далеч от останалата част на компютъра. Излизането от нея и последващото стартиране на програма е това, което превръща обикновен уеб дефект в пълен контрол над машината.

Подобни пробиви на изолираната среда на браузъри почти винаги разчитат на повреждане на паметта (memory corruption). Този обаче не използва нито едно такова. В своя анализ Цай описва верига, изградена единствено от логически грешки в начина, по който Edge и Windows обработват стандартни функции, като посочва, че целият експлойт съдържа под 100 реда код.

Резултатът е универсален примитив за междусайтово скриптиране (UXSS): начин за изпълнение на JavaScript на всеки уебсайт, заобикаляйки политиката за сигурност на съдържанието (Content Security Policy), предназначена да го предотврати.

Тъй като атаката започва от собствения процес на браузъра, тя може да достигне сайтове като google.com, които обикновена уеб уязвимост не може да засегне. Цай нарича това нова повърхност за атака, а не единичен дефект.

Това беше състезателен експлойт, а не атака, забелязана в реални условия. Цай го демонстрира на сцената на Pwn2Own; няма доказателства той да е бил използван срещу реални потребители, а публичните CVE записи посочват експлоатацията като нулева. Една от стъпките във веригата рестартира браузъра, което според Цай е било просто удобство за състезанието и не е необходимо при реална атака.

Веригата започва с функция на Edge за бизнес удостоверяване, наречена conditional access navigation throttle. Цай открива, че нейното задействане позволява на собствения процес на браузъра да инициира нова навигация, която не е обвързана със страницата, която я е поискала, поради което Edge я прикачва към който и раздел да е отворен. Това несъответствие е първата уязвимост и именно то поражда UXSS.

За да накара атаката да се изпълни без никакво кликване, са били необходими още четири слабости. Edge проверява дали заявката идва от доверен сайт на Microsoft, но Цай заобикаля проверката, като отваря заявката от втори прозорец. Блокировачът на изскачащи прозорци в Edge е трябвало да спре този прозорец, но браузърът съдържа твърдо кодиран списък с разрешени адреси и един от тях успява да отвори изскачащия прозорец.

Атаката също така изисква жертвата вече да е вписана в профила си – условие, което функцията за автоматично вписване на Edge осигурява сама, когато потребителят посети сайт на Microsoft. Накрая веригата прочита имейл адреса на жертвата от сайта на Microsoft assets.msn.com, който го връща към всеки уебсайт поради неправилно конфигурирана настройка за споделяне на ресурси между различни произходи (cross-origin).

Възможността за изпълнение на JavaScript навсякъде все още не означава контрол над компютъра. За да излезе от изолираната среда, Цай използва режима за четене на Edge (Immersive Reader), който работи под персонализиран адрес read://, пропуснат от Microsoft в списъка със страници със забрана за изпълнение на скриптове.

Оттам веригата извиква вътрешна функция на Edge, предназначена за архивиране на диагностични логове, и я експлоатира, за да запише файл с избрано от атакуващия име и съдържание на произволно място на диска.

Този запис на файл се превръща в изпълнение на код в две стъпки. Веригата презаписва конфигурационен файл, който определя кои уебсайтове могат да стартират определени протоколни манипулатори (protocol handlers), след което рестартира Edge, за да бъде прочетен файлът. След това задейства връзка от типа telnet://; тъй като Windows по подразбиране не включва програма telnet, операционната система я търси в системните пътища (system path) и стартира предварително подготвено от атакуващия копие от папка, в която потребител с ниски привилегии има права за запис.

Microsoft пусна корекция за сигурност на 15 май, ден след състезанието, в стабилната версия на Edge 148.0.3967.70. Тази версия съдържаше три специфични за Edge поправки, заведени като CVE-2026-45492, CVE-2026-45494 и CVE-2026-45495. Първата е записана като заобикаляне на функция за сигурност, а втората – като грешка за подправяне на идентичност (spoofing), като и двете засягат версии на Edge преди 148.0.3967.70.

Записите на Microsoft оценяват първите две уязвимости с 5,4 по десетобалната система – средна оценка, която отразява отделните уязвимости в изолация, а не цялостната верига, която ги обединява до пълно изпълнение на код. От DEVCORE посочиха, че коригирането на уязвимостите е осъществено в рамките на 24 часа след разкриването им.

Инсталирането на обновленията за Edge прекъсва тази верига. Тъй като корекцията беше разпространена през май, браузърите с включено автоматично обновяване отдавна са я получили и не са необходими допълнителни действия.

Цай изгражда веригата ръчно в продължение на около два месеца, без помощта на изкуствен интелект, като представя постижението като доказателство за значението на човешките изследвания. „Трудната част е откриването им, а след като бъдат намерени всички, навързването им във верига е най-лесната задача“, пише той по повод логическите грешки. Изследването спечели наградата Pwnie за 2026 г. в категорията „Епично постижение“ (Epic Achievement).