Una vulnerabilità di Microsoft Edge ha consentito di uscire dalla sandbox senza bug di memoria
Una catena di vulnerabilità di Microsoft Edge ha consentito a una pagina web dannosa di uscire dalla sandbox del browser ed eseguire codice su un computer Windows senza sfruttare memory corruption. Una sandbox è il confine di isolamento progettato per impedire al codice di un sito web di raggiungere il resto di un dispositivo. Microsoft ha corretto i componenti di Edge interessati a maggio e i browser aggiornati alla versione Stable 148.0.3967.70 non sono vulnerabili a questa catena.
Un ricercatore di DEVCORE ha dimostrato la tecnica al Pwn2Own Berlin a maggio, ottenendo 175.000 dollari, e ha pubblicato un resoconto dettagliato il 28 ottobre, cinque mesi dopo. Microsoft ha rilasciato le correzioni il 15 maggio, il giorno successivo alla competizione, e DEVCORE ha dichiarato che la risposta ha richiesto meno di 24 ore dalla segnalazione. Si è trattato di una dimostrazione svolta nell'ambito di una competizione, non di un attacco reale noto. I record CVE pubblici non riportano alcun exploitation e non vi sono prove che la catena sia stata usata contro gli utenti.
L'aspetto insolito della ricerca è che non dipendeva da memory corruption, che si verifica quando un software gestisce in modo errato i dati nella memoria e talvolta può essere sfruttata per eseguire istruzioni indesiderate. L'exploit ha invece combinato errori nelle regole che disciplinano funzionalità legittime di Edge e Windows. Il ricercatore ha affermato che l'exploit completo conteneva meno di 100 righe di codice, anche se individuare e mettere insieme le debolezze necessarie ha richiesto circa due mesi di lavoro manuale senza l'assistenza dell'intelligenza artificiale.
La prima fase ha prodotto universal cross-site scripting (UXSS), una debolezza a livello di browser che consente a JavaScript di essere eseguito nel contesto di altri siti web. Ha inoltre aggirato Content Security Policy (CSP), una regola dei siti web che limita gli script e le altre risorse che una pagina può caricare. Poiché la navigazione aveva origine da un processo di Edge anziché da un normale sito web, la tecnica poteva interessare siti come google.com, che una vulnerabilità convenzionale negli script di un sito web non avrebbe potuto raggiungere. DEVCORE ha descritto questo comportamento come una attack surface più ampia, anziché come un bug isolato di un sito web.
La catena iniziava con un componente di Edge usato per gli accessi aziendali, chiamato conditional access navigation throttle. Attivandolo, il processo del browser avviava una navigazione che non era più associata alla pagina che l'aveva richiesta. Edge collegava quindi quella navigazione alla scheda del browser attiva in quel momento. Questa mancata corrispondenza forniva all'attaccante la capacità di UXSS.
Altre quattro debolezze consentivano al processo di funzionare senza richiedere un clic. Edge tentava di verificare che la richiesta provenisse da un sito Microsoft attendibile, ma il ricercatore ha aggirato il controllo avviandola tramite una seconda finestra. Un popup blocker avrebbe dovuto impedire la finestra aggiuntiva, ma Edge conteneva un elenco hardcoded di indirizzi consentiti, uno dei quali permetteva l'apertura del popup. L'attacco dipendeva inoltre dal fatto che la vittima avesse effettuato l'accesso, una condizione soddisfatta dalla funzionalità di accesso automatico di Edge quando l'utente visitava un sito Microsoft. Infine, assets.msn.com esponeva l'indirizzo email della vittima a qualsiasi sito web a causa di un cross-origin setting configurato in modo errato, che controlla se un sito web può fornire dati a un altro.
L'esecuzione di JavaScript nei siti web non consentiva di per sé di controllare Windows, quindi la catena ha successivamente preso di mira Immersive Reader, la modalità di lettura di Edge. Questa funzionalità operava tramite un indirizzo personalizzato read://, ma Microsoft aveva omesso tale indirizzo dall'insieme delle pagine a cui era vietato eseguire script. Il ricercatore ha sfruttato questa apertura per richiamare una funzione interna di Edge progettata per comprimere i log diagnostici. Usando impropriamente tale funzione, l'exploit poteva creare in qualsiasi punto del disco un file con contenuti scelti dall'attaccante e con un nome a sua scelta.
La arbitrary file write si trasformava in code execution attraverso altri due passaggi. Innanzitutto, la catena sostituiva un file di configurazione che stabiliva quali siti web potevano aprire protocol handlers, ossia programmi associati a particolari tipi di link. Riavviava quindi Edge affinché il browser caricasse la configurazione modificata. Secondo il ricercatore, il riavvio semplificava la dimostrazione durante la competizione, ma non sarebbe stato necessario in un attacco reale.
L'exploit apriva successivamente un link telnet://. Windows non include un programma Telnet per impostazione predefinita, quindi cercava nel system path un programma adatto. La catena sfruttava tale ricerca collocando una copia controllata dall'attaccante in una cartella scrivibile dall'utente con privilegi limitati. Windows eseguiva quindi quella copia, completando il passaggio da una pagina web dannosa alla code execution al di fuori della sandbox del browser.
Edge Stable 148.0.3967.70 includeva tre correzioni di sicurezza specifiche per Edge, identificate come CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495. Microsoft classifica la prima come security feature bypass e la seconda come problema di spoofing; entrambe interessano le versioni precedenti alla 148.0.3967.70. Ciascuno di questi due record ha un punteggio di gravità pari a 5,4 su 10. Questa valutazione media descrive separatamente ciascuna debolezza e non rappresenta l'effetto della loro combinazione in una catena di code execution.
Per i proprietari di siti web, i risultati mostrano che i difetti del browser possono neutralizzare protezioni configurate correttamente da un singolo sito, inclusa CSP, perché il problema si verificava a livello di browser. La protezione diretta consiste nel mantenere Edge aggiornato. Gli aggiornamenti automatici hanno già distribuito la versione di maggio ai browser che li ricevono normalmente e Microsoft non richiede alcuna azione separata dopo l'installazione dell'aggiornamento. Per le organizzazioni che, in seguito a vulnerabilità come queste, riesaminano le proprie pratiche di sicurezza complessive, AEU-I offre servizi IT, infrastrutture e consulenza con la sicurezza come priorità.
La ricerca illustra inoltre perché errori logici singolarmente moderati possano diventare molto più gravi quando vengono combinati tra funzionalità del browser e del sistema operativo. Individuare i singoli comportamenti è stata la parte difficile del lavoro, mentre collegarli è diventato relativamente semplice una volta conosciuti tutti gli elementi. La ricerca ha successivamente ricevuto il Pwnie Award 2026 per Epic Achievement, ma la conclusione pratica per gli utenti rimane semplice: installare gli aggiornamenti correnti di Edge e riavviare il browser quando richiesto.