В Microsoft Edge нашлись уязвимости. Причина в недостаточной проверке входных данных, то есть в отказе от фильтрации значений. Эксплуатация части из них позволяет выполнить произвольный код на устройстве пользователя. У тех, кто не обновил браузер, ещё часть ведёт к раскрытию чувствительных сведений.
Недостаточная проверка входных данных в Edge
Записи с описанием уязвимостей опубликовали 27 октября 2026 года. В тот же день их обновили, а отдельной даты раскрытия деталей в них нет. При этом записи CVE описывают Google Chrome на Android, а не сам Edge. Номера исправленных сборок у двух продуктов расходятся. Поэтому ориентироваться стоит на бюллетень того продукта, который установлен у вас.
Одна из записей, CVE-2026-118314, относит слабость CWE-20 к интерфейсу браузера. Из-за этого атакующий может передать браузеру специально сформированную HTML-страницу. В результате код выполняется внутри песочницы, то есть в изолированной среде. Такая среда ограничивает доступ к системе, но сам запуск кода не отменяет. Уровень по шкале Chromium для этой записи указан как High.
Вторая запись, CVE-2026-118321, относит ту же слабость к компоненту Core. Здесь описан уже выход за пределы песочницы. Из-за этого последствия касаются всей системы, а не одной вкладки браузера. Через ядро проходит большая часть обработки страниц, поэтому проверка там важна. Кроме того, сбой в этом месте открывает атакующему более широкие возможности.
Совпадение идентификаторов в двух бюллетенях не случайно. Совпадают они потому, что причина в общем для двух браузеров коде. При этом сроки выпуска у продуктов разные, и версии расходятся. Из-за этого нельзя переносить номер сборки с одного продукта на другой. Проверять нужно ту строку, которая относится к вашему браузеру.
Как проходит атака
При этом атака идёт по сети, учётные данные злоумышленнику не нужны. Участие пользователя всё же требуется, жертва открывает подготовленную страницу. Численную оценку CVSS источники не приводят. Об условиях атаки говорит само описание записи. Для защиты это значит, что полагаться придётся на установку исправления.
Для организации такой сценарий означает риск исполнения чужого кода в браузере сотрудника. Также утечка сведений затрагивает данные, с которыми работает браузер. Кроме того, выход за песочницу расширяет набор возможных последствий для системы. Поэтому обновление стоит включить в ближайшее окно обслуживания. Планового окна здесь достаточно.
При этом рабочий браузер часто держит открытыми внутренние сервисы компании. Поэтому исполнение кода в нём затрагивает не только личные данные сотрудника. В результате одна открытая страница расширяет возможности атакующего в сети. Хотя для этого нужны действия пользователя, защита на этом уровне важна. Проверить версию проще, чем разбирать последствия.
Что меняется после установки исправления
Исправление для Edge вышло в сборке 156.0.4314.56. Обновить нужно любую версию ниже этого номера, включая давно не тронутые установки. Перед установкой вендор советует заглянуть на его сайт за подробностями. Обходных мер источник не приводит, поэтому остаётся обновление. При этом именно эта сборка закрывает описанные сценарии.
Отдельная история касается Chrome на Android. Запись CVE не называет исправленную версию этого браузера. Однако затронутыми в ней значатся версии ниже 156.0.8078.73. Поэтому точный номер сборки для Chrome назвать нельзя. Сверяться придётся с сайтом вендора и с официальным каналом обновлений.
Сведений об эксплуатации в реальных атаках бюллетень не даёт. В записях CVE при этом упомянута отметка KEV, которая говорит об известных случаях эксплуатации. Публичное раскрытие деталей состоялось 27 октября, и об атаках оно не сообщает. Сама по себе отметка KEV не заменяет проверку версий на местах.
Для администраторов главное изменение простое. Старые сборки Edge больше не защищены от этих сценариев. После обновления браузер получает исправленную проверку входных данных. Кроме того, стоит сверить версии Edge и Chrome на рабочих местах. Иначе часть устройств останется без исправления, а риск сохранится.
Ссылки
