Rangkaian celah logika murni tanpa eksploitasi kerusakan memori terbukti mampu mengubah laman web berbahaya menjadi eksekusi kode langsung pada komputer bersistem operasi Windows di luar lingkungan sandbox milik Microsoft Edge, sebagaimana dibuktikan oleh seorang peneliti keamanan siber.
Orange Tsai yang mewakili tim DEVCORE mempublikasikan rincian metodologi lengkap temuannya tersebut pada tanggal 28 Oktober, persis lima bulan seusai rangkaian eksploitasi tersebut berhasil memenangkan hadiah senilai 175.000 dolar AS dalam ajang bergengsi Pwn2Own Berlin yang diselenggarakan pada bulan Mei lalu. Pihak Microsoft sendiri telah merilis perbaikan untuk kerentanan Edge tersebut tepat sehari setelah kompetisi rampung digelar, sehingga peramban yang rutin diperbarui kini dipastikan berada dalam kondisi aman.
Secara mendasar, mekanisme sandbox pada peramban berfungsi sebagai dinding pembatas kokoh yang mengisolasi kode situs web agar tetap berada di dalam aplikasi penjelajah serta terpisah dari seluruh sistem komputer. Tindakan membobol batas pertahanan tersebut kemudian menjalankan program eksternal merupakan faktor kunci yang mengubah bug peramban biasa menjadi penguasaan penuh atas mesin korban.
Aksi pelarian diri dari sandbox peramban umumnya selalu bergantung pada manipulasi kerusakan memori. Namun demikian, metode yang dirancang ini sama sekali tidak memanfaatkannya. Melalui laporan teknis yang disusunnya, Tsai menerangkan bahwa rantai serangan ini murni dibangun dari kumpulan kesalahan logika saat Edge maupun Windows menangani fitur-fitur operasional reguler, bahkan keseluruhan kode eksploitasi tersebut tercatat kurang dari 100 baris kode.
Dampak langsung dari rangkaian tersebut menciptakan sebuah primitif universal cross-site scripting (UXSS), yaitu mekanisme khusus guna mengeksekusi skrip JavaScript pada laman situs mana saja sembari melangkahi kebijakan keamanan konten (content security policy) yang semestinya menangkal aksi tersebut.
Lantaran serangan siber ini diinisiasi langsung dari proses internal peramban itu sendiri, eksploitasi ini dapat menembus alamat seperti google.com yang umumnya kebal terhadap serangan bug web konvensional. Tsai menggolongkan temuan inovatif ini sebagai sebuah bidang permukaan serangan baru dan bukan sekadar temuan cacat sistem tunggal yang berdiri sendiri.
Pola serangan ini murni merupakan eksploitasi uji coba kompetisi dan bukanlah bentuk serangan liar yang ditemukan beredar di dunia nyata. Demonstrasi tersebut dipraktikkan langsung oleh Tsai di panggung perhelatan Pwn2Own; tidak dijumpai catatan bukti yang menunjukkan bahwa metode ini pernah digunakan untuk menyerang pengguna umum, serta data CVE publik melabeli status eksploitasinya dengan nilai nihil. Terdapat satu tahapan khusus dalam skema ini yang mewajibkan proses muat ulang peramban, di mana Tsai mengonfirmasi bahwa hal itu semata-mata demi kepraktisan selama perlombaan berlangsung dan sebenarnya tidak mutlak diperlukan pada aksi penyerangan yang sesungguhnya.
Rantai penyerangan ini diawali melalui pemanfaatan sebuah fungsi bawaan Edge untuk keperluan proses masuk akun bisnis yang dikenal dengan sebutan conditional access navigation throttle. Tsai menemukan fakta bahwa memicu komponen ini memungkinkan proses peramban memulai instruksi navigasi baru yang terlepas dari laman pemintanya, akibatnya Edge malah menyematkan proses tersebut pada tab mana saja yang tengah aktif terbuka. Ketidaksesuaian penempatan navigasi itulah yang menjadi celah pembuka pertama sekaligus melahirkan kapabilitas serangan UXSS.
Upaya merealisasikan skenario agar berjalan otomatis tanpa sentuhan klik pengguna membutuhkan kombinasi empat kerentanan tambahan. Sistem Edge mulanya memverifikasi bahwa permintaan navigasi hanya boleh berasal dari alamat situs Microsoft yang terpercaya, namun Tsai sukses mengelabui pemeriksaan ketat itu dengan membuka permintaan lewat jendela kedua. Fitur pemblokir jendela sembulan pada Edge seharusnya menghadang kemunculan jendela tersebut, akan tetapi Edge ternyata menyimpan daftar alamat yang diizinkan secara bawaan, dan salah satu alamat di dalamnya berhasil dimanfaatkan untuk memunculkan jendela sembulan.
Skema penyerangan ini juga menuntut target korban dalam kondisi telah masuk ke akunnya, situasi yang justru disediakan otomatis oleh fasilitas auto-sign-in milik Edge saat pengguna membuka laman resmi Microsoft. Pada tahap penutup fase ini, rangkaian serangan membaca alamat email korban dari situs Microsoft assets.msn.com, yang secara ceroboh mengekspos data pribadi tersebut ke sembarang situs web akibat konfigurasi cross-origin yang keliru.
Kendati berhasil mengeksekusi kode JavaScript secara leluasa di semua situs, penyerang pada tahapan ini sejatinya belum sanggup mengendalikan sistem komputer seutuhnya. Guna meloloskan diri keluar dari sandbox, Tsai mendayagunakan fitur mode baca bawaan Edge, Immersive Reader, yang beroperasi di bawah skema protokol khusus read:// yang ironisnya luput dimasukkan oleh Microsoft ke dalam daftar proteksi halaman yang dilarang memproses eksekusi skrip.
Begitu masuk ke lingkungan tersebut, rantai serangan lantas memanggil fungsi internal Edge yang semestinya bertugas memampatkan berkas log diagnostik ke format zip, lalu menyalahgunakannya guna menulis berkas dengan nama sekaligus isi yang ditentukan bebas oleh penyerang ke lokasi direktori penyimpanan cakram mana pun.
Kemampuan penulisan berkas liar tersebut kemudian dikonversi menjadi eksekusi kode utuh melalui dua langkah operasional. Eksploitasi mula-mula menimpa berkas konfigurasi yang mengatur hak akses situs dalam membuka penangan protokol, disusul tindakan merestart Edge agar pembacaan modifikasi berkas baru segera dimuat. Selanjutnya, skrip memanggil tautan telnet://; berhubung Windows tidak menyertakan program telnet asli secara bawaan, sistem akan melacak variabel path dan tanpa sengaja mengeksekusi tiruan program telnet berbahaya yang sebelumnya telah ditaruh penyerang pada folder yang dapat ditulis oleh pengguna berhak akses rendah.
Microsoft secara resmi mendistribusikan berkas pembaruan pada 15 Mei, berselang sehari pasca perlombaan, melalui peluncuran Edge Stable versi 148.0.3967.70. Rilis tersebut memuat tiga solusi perbaikan spesifik untuk Edge, yang diidentifikasi sebagai CVE-2026-45492, CVE-2026-45494, dan CVE-2026-45495. Kerentanan awal dikategorikan sebagai tindakan bypass fitur keamanan, sementara yang kedua dicatat sebagai cacat penipuan identitas (spoofing), di mana keduanya berdampak pada versi Edge sebelum rilis 148.0.3967.70.
Dokumentasi resmi Microsoft menetapkan skor keparahan dua celah perdana tersebut pada angka 5,4 dari skala 10, tingkat menengah yang hanya mengukur risiko bug secara terpisah, bukan bahaya gabungan saat dirangkai menjadi eksekusi kode utuh. DEVCORE menegaskan bahwa pembaruan resmi berhasil dikeluarkan dalam tempo 24 jam semenjak pelaporan diserahkan.
Melakukan pembaruan aplikasi Edge secara efektif akan memutus rantai serangan ini. Karena penambalan telah disalurkan sejak Mei, peramban dengan opsi pembaruan otomatis dipastikan sudah lama terlindungi dan pengguna tidak memerlukan tindakan manual tambahan.
Tsai merancang seluruh rantai eksploitasi ini secara manual selama kurun waktu sekitar dua bulan tanpa bantuan kecerdasan buatan, sekaligus menegaskan bahwa riset manusia masih sangat vital. "Bagian yang sulit adalah menemukannya, dan begitu Anda menemukan semuanya, merangkainya adalah bagian yang paling mudah," tulisnya mengenai perburuan bug logika tersebut. Karya riset keamanan ini pada akhirnya diganjar penghargaan bergengsi Pwnie Award 2026 untuk kategori Epic Achievement.
