Uma cadeia de falhas de lógica, sem corrupção de memória, pode transformar uma página web maliciosa em código executado em um computador com Windows fora do sandbox do Microsoft Edge, mostrou um pesquisador de segurança.
Orange Tsai, da DEVCORE, publicou o método completo em 28 de outubro, cinco meses depois de a cadeia render US$ 175 mil no concurso Pwn2Own Berlin, em maio. A Microsoft corrigiu as falhas do Edge no dia seguinte ao concurso, então um navegador atualizado não está em risco.
Um sandbox de navegador é a parede que impede o código de uma página web de sair do navegador e chegar ao restante do computador. Romper essa barreira e, em seguida, executar um programa é o que transforma uma falha web em controle total da máquina.
Fugas de navegador como essa quase sempre dependem de corrupção de memória. Esta não usou nenhuma. Em seu relatório técnico, Tsai descreve uma cadeia construída exclusivamente a partir de erros de lógica na forma como o Edge e o Windows tratam recursos comuns, e afirma que o exploit completo tem menos de 100 linhas de código.
O resultado é uma primitiva de cross-site scripting universal (UXSS), ou seja, uma forma de executar JavaScript em qualquer site, contornando a política de segurança de conteúdo que deveria impedir isso.
Como o ataque parte do próprio processo do navegador, ele consegue alcançar sites como google.com, que uma falha web comum não consegue tocar. Tsai chama isso de uma nova superfície de ataque, e não de um bug isolado.
Tratou-se de um exploit de competição, e não de um ataque observado na natureza. Tsai demonstrou a técnica ao vivo no Pwn2Own; não há evidências de que ela tenha sido usada contra usuários reais, e os registros públicos de CVE (sigla de Common Vulnerabilities and Exposures) listam a exploração como inexistente. Uma etapa da cadeia reinicia o navegador, o que, segundo Tsai, foi uma conveniência do concurso e não é necessária em um ataque real.
Como a cadeia funciona
A cadeia começa com um recurso do Edge para logins corporativos, chamado de limitador de navegação de acesso condicional. Tsai descobriu que acioná-lo faz o próprio processo do navegador iniciar uma nova navegação não vinculada à página que a solicitou, e o Edge a anexa à aba que estiver aberta. Essa incompatibilidade é a primeira falha e é ela que produz o UXSS.
Para que o código fosse executado sem nenhum clique, foram necessárias mais quatro fraquezas. O Edge verificava se a solicitação vinha de um site confiável da Microsoft, mas Tsai contornou essa checagem abrindo a solicitação a partir de uma segunda janela. O bloqueador de pop-ups do Edge deveria ter impedido essa janela, porém o navegador mantinha uma lista fixa de endereços permitidos, e um deles abriu o pop-up.
O ataque também exigia que a vítima já estivesse conectada, o que o recurso de login automático do Edge fornece por conta própria quando o usuário visita um site da Microsoft. Por fim, a cadeia lê o endereço de e-mail da vítima em um site da Microsoft, o assets.msn.com, que o entregava a qualquer site devido a uma configuração incorreta de compartilhamento entre origens.
Executar JavaScript em qualquer lugar ainda não significa controlar o computador. Para escapar do sandbox, Tsai usou o modo de leitura do Edge, o Immersive Reader, que roda sob um endereço personalizado read:// que a Microsoft deixou fora da lista de páginas proibidas de executar scripts.
A partir daí, a cadeia chamou uma função interna do Edge destinada a compactar registros de diagnóstico e a explorou para gravar um arquivo, com nome e conteúdo escolhidos pelo invasor, em qualquer lugar do disco.
Essa gravação de arquivo é convertida em execução de código em duas etapas. A cadeia sobrescreve um arquivo de configuração que controla quais sites podem abrir quais manipuladores de protocolo e, em seguida, reinicia o Edge para que o arquivo seja lido. Depois, abre um link telnet://; como o Windows não traz um programa telnet por padrão, o sistema procura um na variável de caminho e executa uma cópia plantada pelo atacante, a partir de uma pasta na qual o usuário com privilégios baixos pode gravar.
Correção e impacto
A Microsoft lançou a correção em 15 de maio, um dia depois do concurso, na versão estável 148.0.3967.70 do Edge. Essa versão trouxe três correções específicas do Edge, catalogadas como CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495. A primeira é registrada como uma falha de contorno de recurso de segurança, e a segunda como um bug de falsificação (spoofing), ambas afetando versões do Edge anteriores à 148.0.3967.70.
Os registros da Microsoft classificam as duas primeiras com nota 5,4 em uma escala de 10 pontos, uma pontuação média que reflete um único bug isolado, e não a cadeia completa que os encadeia até a execução de código. A DEVCORE afirmou que a correção chegou em até 24 horas após a divulgação.
Atualizar o Edge encerra essa cadeia. Como a correção foi lançada em maio, um navegador com atualizações automáticas já a recebeu há bastante tempo, e nenhuma ação adicional é necessária.
Tsai construiu a cadeia manualmente, ao longo de cerca de dois meses, sem nenhuma ajuda de inteligência artificial, e apresenta o trabalho como um argumento sobre onde a pesquisa humana ainda faz diferença. “A parte difícil é encontrá-las, e, quando você as encontra todas, encadear é a parte mais fácil”, escreve ele sobre as falhas de lógica. A pesquisa venceu o Pwnie Award de 2026 na categoria Epic Achievement.
