Il 28 ottobre 2026 Orange Tsai, ricercatore di DEVCORE, ha pubblicato i dettagli di una catena di bug logici per Microsoft Edge che aveva dimostrato a Pwn2Own Berlin il 14 maggio. La sequenza arrivava dall’esecuzione di JavaScript con l’origine di un altro sito fino all’esecuzione di codice fuori dalla sandbox del browser. Microsoft aveva elencato le correzioni nella versione Edge Stable 148.0.3967.70 il 15 maggio.
L’annuncio della Zero Day Initiative riportato nel post di Tsai associava alla dimostrazione un premio di 175.000 dollari e 17,5 punti Master of Pwn. Tsai ha descritto una catena basata su bug logici e funzioni di Edge e Windows, senza ricorrere alla corruzione della memoria.
Perché la navigazione poteva assumere l’origine della scheda attiva
Tsai ha ricondotto il primo difetto a EdgeCAGuidanceNavigationThrottle, usato nel flusso di accesso aziendale con Conditional Access. La navigazione avviata dal processo del browser non manteneva un riferimento esplicito al contenuto che l’aveva originata (source_contents). Chromium usava quindi la scheda attiva come origine della navigazione. Se la scheda cambiava prima che questa partisse, il JavaScript poteva essere eseguito con l’origine del sito aperto nella nuova scheda.
Tsai descrive questo passaggio come UXSS, cioè cross-site scripting universale: uno script opera con l’origine di un sito diverso da quello da cui era partito. La catena proseguiva attraverso controlli sulle finestre e sui popup; nello scenario del ricercatore, coinvolgeva anche un profilo Edge autenticato e una configurazione CORS che rendeva leggibile alla pagina l’indirizzo email dell’utente.
Dalla UXSS all’esecuzione fuori dalla sandbox
La sandbox è il recinto che limita ciò che una pagina web può fare sul sistema. Nel resoconto di Tsai, il passaggio oltre questo confine coinvolgeva Immersive Reader e il suo schema read://, insieme a una funzione interna di log diagnostico che permetteva di scrivere un file. La catena arrivava poi a modificare la configurazione dei protocolli di Edge e a usare funzioni di Windows per avviare codice esterno al browser.
La registrazione di Orange Tsai mostra la dimostrazione principale su Edge e termina con l’apertura della Calcolatrice.
I due filmati mostrano direzioni diverse
Il filmato della Calcolatrice che apre Edge mostra un seguito distinto, in direzione inversa rispetto alla catena principale. Si vedono più finestre della Calcolatrice e, in seguito, Microsoft Edge che apre il sito di HITCON 2026. Tsai ha descritto separatamente una vulnerabilità Windows che permetteva di avviare Edge da calc.exe.
La voce di Microsoft sulle correzioni di Edge Stable
Nelle note di sicurezza di Edge Stable del 15 maggio 2026, Microsoft riportò la versione 148.0.3967.70 e tre vulnerabilità associate alla catena: CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495.
