Исследователь Orange Tsai из команды DEVCORE опубликовал 28 октября подробный разбор атаки на Microsoft Edge, за которую еще в мае получил $175 тысяч на Pwn2Own Berlin. В показанной цепочке не было ни повреждения памяти, ни помощи нейросетей: исследователь использовал несколько логических ошибок Edge и особенности Windows, чтобы выйти из изоляции браузера и выполнить код за ее пределами. Это история о давно исправленной конкурсной цепочке, а не сообщение о новой уязвимости актуальной версии Edge.
Что произошло на Pwn2Own Berlin
14 мая 2026 года Orange Tsai продемонстрировал организаторам конкурса выход из песочницы Edge. Zero Day Initiative зафиксировала успешную попытку, четыре объединенные логические ошибки и награду $175 тысяч. В полном разборе автор описал пять логических слабостей, включая дополнительные ограничения и обходы, которые потребовались для завершения цепочки. Разница в подсчете объясняется границами конкурсного результата и полного исследования.
Сценарий начинался с действий вредоносной страницы в браузере. Изолирующая среда браузера предназначена для того, чтобы JavaScript сайта не мог сам по себе управлять Windows. Исследователь показал, как последовательность обычных функций и неверных проверок доверия разрушает эту границу.
Как логические ошибки сложились в цепочку
Первый этап был связан с механизмом перенаправления корпоративного входа Edge. Ошибка сопоставления навигации и вкладки позволяла добиться выполнения сценария в контексте другого сайта, то есть универсального XSS. Дополнительные особенности автоматического входа, открытия окон и проверки источника запросов помогали сделать цепочку воспроизводимой без нажатий пользователя.
Для перехода к системе исследователь использовал режим чтения Immersive Reader и механизм архивирования диагностических журналов. В результате появилась возможность записать подготовленный файл в выбранное место, а затем запустить программу за пределами браузерной песочницы. Реализация не опиралась на чтение освобожденной памяти или переполнение буфера — типичные компоненты сложных браузерных эксплойтов.
Почему отсутствие ИИ стало частью истории
Orange Tsai специально подчеркивает, что собрал атаку вручную. При растущем интересе к автоматизированному поиску уязвимостей он выбрал цепочку, где основная трудность — заметить неправильные границы доверия между штатными функциями. Отдельные логические дефекты могли выглядеть некритичными, но вместе давали гораздо более серьезный результат. Взлом получил премию Pwnie Awards в категории Epic Achievement.
При этом противопоставление человека и ИИ — позиция исследователя, а не измерение того, какие способы поиска ошибок эффективнее во всех проектах. Один удачный конкурсный результат не позволяет делать общий вывод о качестве автоматизированного аудита.
Насколько опасна цепочка сейчас
Показанные недостатки исправили после майского конкурса: в частности, в Edge Stable 148.0.3967.70 от 15 мая 2026 года вошли изменения для CVE-2026-45492, CVE-2026-45494 и CVE-2026-45495. Эти идентификаторы относятся к отдельным компонентам исследованной цепочки и не дают самостоятельной оценки всему сценарию. Подтверждений эксплуатации против реальных пользователей не опубликовано.
Технический текст появился только 28 октября, но дата публикации подробностей не делает патч старым или новым. Для актуальной версии Edge показанная цепочка не считается открытой проблемой. Значение исследования — демонстрация того, как несколько проверок, каждая из которых кажется второстепенной, могут вместе изменить модель безопасности браузера.
Читайте также: HOOKEDGE использует Edge для скрытой связи
Вопросы и ответы (FAQ)
Когда состоялся взлом Edge?
На Pwn2Own Berlin 14 мая 2026 года; подробное описание опубликовано 28 октября.
Сколько денег получил исследователь?
Zero Day Initiative подтвердила награду $175 тысяч.
Использовались ли нейросети?
Автор заявил, что подготовил цепочку вручную и без ИИ.
Актуальные версии Edge еще уязвимы?
Описанная конкурсная цепочка исправлена в мае; свидетельств реальной эксплуатации нет.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
