Orange Tsai veröffentlichte am 28. Oktober 2026 seinen technischen Bericht über eine Microsoft-Edge-Exploitkette, die er im Mai bei Pwn2Own Berlin demonstriert hatte. Sie führte von einem Logikfehler bei der Zuordnung einer Browsernavigation bis zur Codeausführung außerhalb von Edge. Microsofts Sicherheitsnotizen führen die zugehörigen Korrekturen bereits für den 15. Mai 2026 auf.
Was Tsais Bericht über die Exploitkette beschreibt
Tsais Erklärung setzt bei einer Navigation an, die der Browserprozess auslöste. Dabei fehlte laut seiner Analyse die Bindung an den Renderer, der die Navigation angestoßen hatte. Chromium ordnete sie stattdessen dem aktiven Tab zu. In der beschriebenen Konstellation konnte JavaScript dadurch im Sicherheitskontext einer anderen Website laufen.
Tsai bezeichnet das Ergebnis als Universal Cross-Site Scripting, kurz UXSS. Gemeint ist, dass Skriptcode im Kontext einer fremden Website ausgeführt wird. Die weiteren Schritte nutzten laut Tsai zusätzliche Logikfehler und Funktionen von Edge und Windows, um die Browser-Sandbox zu verlassen und Code außerhalb des Browsers auszuführen. Eine Sandbox ist eine Isolationsschicht, die Browserinhalte vom übrigen System trennt. Die Kette kam Tsais Bericht zufolge ohne Speicherfehler aus.
Bei Pwn2Own Berlin zeigte Tsai die Kette am 14. Mai. Die in seinem Bericht eingebettete Ankündigung der Zero Day Initiative bezifferte den Gewinn auf 175.000 US-Dollar und 17,5 Master-of-Pwn-Punkte.
Tsais englischsprachige Bildschirmaufnahme zeigt die Edge-Demonstration, die mit dem Start des Windows-Taschenrechners endet.
Der Clip mit Rechner und Edge zeigt eine andere Richtung
Im zweiten Clip startet zunächst der Windows-Taschenrechner; anschließend öffnet sich Microsoft Edge mit der HITCON-2026-Website. Tsai beschreibt diese Vorführung als separaten, umgekehrten Ablauf: Eine Windows-Sicherheitslücke sollte Edge aus calc.exe heraus starten. Das ist nicht die Richtung der Edge-Kette, die vom Browser aus zur Codeausführung führte.
Welche Edge-Version Microsoft als korrigiert aufführte
Microsofts Sicherheitsnotizen führen Edge Stable 148.0.3967.70 in einem Eintrag vom 15. Mai 2026 mit den zugehörigen Kennungen CVE-2026-45492, CVE-2026-45494 und CVE-2026-45495 auf. Das ist der historische Eintrag für die Korrekturen zu dieser Kette.
