Uma sequência de falhas lógicas e sem corrupção de memória (erros no funcionamento do programa) permitiu que o navegador Microsoft Edge sofresse uma invasão completa a partir de uma página maliciosa. A brecha transformou códigos simples em comandos executados em um computador com Windows fora do ambiente protegido, em um caso descoberto em maio.
A falha foi demonstrada pelo pesquisador Orange Tsai, integrante da equipe DEVCORE, que publicou a metodologia completa nesta quarta-feira (28) em um artigo técnico. A demonstração rendeu um prêmio de 175 mil dólares (cerca de R$ 942 mil) durante a competição Pwn2Own realizada em Berlim, na Alemanha, conforme detalhado nos registros da Zero Day Initiative (ZDI).
A Microsoft corrigiu as vulnerabilidades no navegador no dia seguinte ao evento, de modo que os usuários com o software atualizado não enfrentam riscos, segundo as notas oficiais de segurança da empresa.
A demonstração em eventos oficiais serve para expor pontos cegos que fabricantes corrigem rapidamente antes de qualquer aproveitamento por criminosos reais”, destacam os organizadores da iniciativa sobre a descoberta
Dustin Childs, representante da ZDI
A mecânica da invasão baseada em lógica
O modelo tradicional de invasão de navegadores depende de falhas técnicas complexas de memória para burlar as barreiras do sistema. No entanto, a pesquisa de Orange Tsai utilizou exclusivamente erros simples na forma como o Edge e o Windows gerenciam recursos comuns. Com menos de 100 linhas de código, o programa malicioso conseguiu gerar um mecanismo de execução universal e burlar proteções básicas de segurança.
“A parte difícil é encontrá-los e, uma vez encontrados todos, encadear é a parte mais fácil”, afirmou o pesquisador Orange Tsai, em publicação técnica sobre o desenvolvimento da falha.
A cadeia de eventos começou com uma ferramenta empresarial do Edge voltada para autenticação de contas. O especialista constatou que o acionamento desse mecanismo permitiu que o processo do navegador iniciasse uma nova navegação desvinculada da página original, e ligou o processo à aba aberta no momento.
Encadeamento de vulnerabilidades e correção imediata
Para que o ataque funcionasse sem a necessidade de cliques por parte do usuário, foram exploradas outras quatro fragilidades no ecossistema da Microsoft. O processo envolveu desviar de verificações de segurança utilizando uma segunda janela, contornar bloqueadores de pop-up por meio de endereços permitidos, aproveitar o login automático e extrair o e-mail da vítima de um serviço associado devido a falhas na troca de dados entre servidores.
Com o acesso obtido, o pesquisador utilizou a ferramenta de leitura imersiva do navegador e manipulou funções de arquivos de diagnóstico para sobrescrever arquivos do sistema e realizar alterações no computador. A Microsoft implementou a correção em 15 de maio na versão estável 148.0.3967.70 do Edge, e solucionou as falhas registradas sob os identificadores CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495.
“A Microsoft está ciente dos recentes relatórios e atualizações, mantendo o compromisso de garantir a segurança dos produtos por meio de correções rápidas integradas aos canais oficiais de atualização”, indicam os registros corporativos da empresa sobre o ciclo de atualizações de segurança do navegador.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.