Em 28 de outubro de 2026, o pesquisador de segurança Orange Tsai publicou uma análise técnica de uma cadeia de falhas lógicas no Microsoft Edge. O relato detalha como uma navegação associada à aba ativa levou a uma cross-site scripting universal (UXSS) e, depois, à execução de código fora do isolamento do navegador. A cadeia havia sido demonstrada no Pwn2Own Berlin em maio.
A demonstração ocorreu em 14 de maio de 2026. Segundo o anúncio da Zero Day Initiative reproduzido na publicação de Tsai, ela rendeu US$ 175 mil e 17,5 pontos Master of Pwn. Tsai descreveu uma cadeia baseada em falhas lógicas e recursos do navegador e do Windows, sem corrupção de memória.
Como a falha de navegação levou à execução fora do sandbox
O primeiro problema estava no EdgeCAGuidanceNavigationThrottle, usado em um fluxo empresarial de autenticação do Acesso Condicional. Segundo Tsai, uma navegação iniciada pelo processo do navegador não levava a referência interna source_contents que a associaria à aba de origem. O Chromium acabava usando a aba ativa como referência. Com isso, o script podia ser executado sob a origem de outra aba, gerando UXSS e atravessando a separação de segurança entre sites.
A sequência descrita por Tsai combinava navegação entre janelas, autenticação automática do OneAuth em sites da Microsoft e uma configuração incorreta de CORS em assets.msn.com, que expunha o e-mail do perfil conectado no cenário apresentado. Depois, o Immersive Reader e uma função de registro de diagnóstico do Edge participavam da saída do sandbox, a camada de isolamento que limita o acesso de uma página ao sistema. A cadeia chegava à execução de código fora desse limite.
Na demonstração gravada, a tela de configurações exibe o Edge 148.0.3967.54; a sequência termina com a abertura da Calculadora.
A sequência Calculadora-Edge é uma demonstração separada
Uma segunda gravação mostra um script abrindo a Calculadora e, em seguida, o Microsoft Edge no site da HITCON 2026. É uma demonstração separada da cadeia principal, que parte do Edge e chega à execução de código fora do navegador. Tsai também descreveu uma falha distinta de execução de código no Windows que inverte essa direção, iniciando o Edge a partir do calc.exe.
A versão do Edge listada pela Microsoft
Em 15 de maio de 2026, as notas de segurança da Microsoft listaram o Edge Stable 148.0.3967.70 com correções para CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495.
