Uma sequência de falhas lógicas, sem corrupção de memória, pode transformar uma página maliciosa em código executado em um computador com Windows, fora da sandbox do Microsoft Edge. A técnica foi demonstrada por um pesquisador de segurança.
Orange Tsai, da DEVCORE, publicou o método completo em 28 de outubro, cinco meses depois de a sequência render US$ 175.000 na competição Pwn2Own Berlin, em maio. A Microsoft corrigiu as falhas do Edge no dia seguinte ao evento. Portanto, navegadores atualizados não estão vulneráveis.
A sandbox do navegador funciona como uma barreira que mantém o código de uma página dentro do navegador e longe do restante do computador. Escapar dessa barreira e executar um programa é o que transforma uma falha no navegador em controle total da máquina.
Fugas da sandbox de navegadores quase sempre dependem de corrupção de memória. Essa não. Em seu relato técnico, Tsai descreve uma sequência baseada exclusivamente em erros lógicos na forma como o Edge e o Windows lidam com recursos comuns. Segundo ele, o exploit inteiro tem menos de 100 linhas de código.
O resultado é um mecanismo universal de script entre sites, conhecido como UXSS, que permite executar JavaScript em qualquer site e contornar a política de segurança de conteúdo criada para impedir isso.
Como o ataque começa no próprio processo do navegador, ele pode alcançar sites como google.com, inacessíveis a uma falha comum em páginas da internet. Tsai descreve esse cenário como uma nova superfície de ataque, e não como uma falha isolada.
O caso envolveu um exploit demonstrado em uma competição, não um ataque observado em circulação. Tsai apresentou a técnica no palco do Pwn2Own, mas não há indícios de que ela tenha sido usada contra usuários reais. Os registros públicos de CVE também não apontam exploração. Uma etapa da sequência reinicia o navegador, recurso que Tsai descreve como conveniente para a competição, mas desnecessário em um ataque real.
A sequência começa com um recurso do Edge para autenticação corporativa, chamado mecanismo de limitação de navegação para acesso condicional. Tsai descobriu que acioná-lo permite que o próprio processo do navegador inicie uma nova navegação sem vínculo com a página que fez a solicitação. Assim, o Edge associa a navegação à guia que estiver aberta. Essa incompatibilidade é a primeira falha e possibilita o UXSS.
Para fazer o ataque funcionar sem um clique, foram necessárias outras quatro falhas. O Edge verificava se a solicitação vinha de um site confiável da Microsoft, mas Tsai contornou essa checagem ao abrir a solicitação em uma segunda janela. O bloqueador de janelas emergentes do Edge deveria impedir a abertura, mas o navegador tinha uma lista hardcoded de endereços permitidos, e um deles fazia a janela aparecer.
O ataque também exigia que a vítima já estivesse autenticada. O recurso de entrada automática do Edge atende a essa condição quando o usuário visita um site da Microsoft. Por fim, a sequência obtém o endereço de e-mail da vítima em assets.msn.com, um site da Microsoft que o fornecia a qualquer página por causa de uma configuração incorreta de origem cruzada.
Executar JavaScript em qualquer site ainda não significa controlar o computador. Para escapar da sandbox, Tsai usou o modo de leitura do Edge, o Immersive Reader. O recurso é executado em um endereço personalizado, read://, que a Microsoft não incluiu na lista de páginas proibidas de executar scripts.
A partir daí, a sequência acionou uma função interna do Edge, criada para compactar registros de diagnóstico, e a usou para gravar em qualquer local do disco um arquivo com nome e conteúdo escolhidos pelo invasor.
A gravação do arquivo é convertida em execução de código em duas etapas. Primeiro, a sequência sobrescreve um arquivo de configuração que determina quais sites podem iniciar quais manipuladores de protocolo. Depois, reinicia o Edge para que o arquivo seja lido. Em seguida, abre um link telnet://. Como o Windows não inclui um programa telnet por padrão, o sistema procura um na variável PATH e executa uma cópia plantada pelo invasor em uma pasta na qual um usuário com poucos privilégios pode gravar arquivos.
A Microsoft lançou a correção em 15 de maio, um dia após a competição, na versão estável 148.0.3967.70 do Edge. A atualização incluiu três correções específicas para o navegador, identificadas como
CVE-2026-45492
,
CVE-2026-45494
e
CVE-2026-45495
. A primeira foi classificada como desvio de recurso de segurança, e a segunda, como uma falha de spoofing. Ambas afetavam versões do Edge anteriores à 148.0.3967.70.
Nos registros da Microsoft, as duas primeiras falhas receberam nota 5,4 em uma escala de 10, uma classificação média que considera cada falha isoladamente, não a sequência completa que leva à execução de código. A DEVCORE afirmou que a correção foi disponibilizada em até 24 horas após a divulgação.
Atualizar o Edge elimina essa sequência de ataque. Como a correção foi lançada em maio, navegadores com atualização automática já a receberam há bastante tempo, sem necessidade de outras medidas.
Tsai montou a sequência manualmente ao longo de cerca de dois meses, sem ajuda de inteligência artificial. Ele apresenta o trabalho como um exemplo de onde a pesquisa humana ainda faz diferença. “A parte difícil é encontrá-las. Depois que você encontra todas, encadeá-las é a parte mais fácil”, escreveu sobre as falhas lógicas. A pesquisa recebeu o prêmio Pwnie Award de conquista épica em 2026.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...