Microsoft выпустила стабильную сборку Edge 157.0.4341.42. Она включает последние обновления безопасности проекта Chromium, на котором работает браузер. Исправления закрывают уязвимости, позволяющие выполнять произвольный код, читать содержимое памяти, обходить ограничения безопасности и вызывать отказ в обслуживании. Затронуты все версии Edge ниже 157.0.4341.42.
Что вошло в выпуск
Релиз вышел 5 ноября 2026 года. В примечании Microsoft пишет, что добавит идентификаторы CVE по мере появления. Часть записей к этому моменту уже опубликована: Chrome назначил их 30 октября 2026 года и описал в них версии Chrome ниже 156.0.8078.79. Edge собирают из того же движка, поэтому исправления Chromium переходят в него напрямую, вместе с закрытыми ошибками.
Единый движок означает и общий риск. Страница, опасная для Chrome, опасна и для Edge, причём в организациях браузер часто предустановлен на всех рабочих станциях и обновляется по общему расписанию. Отдельного бюллетеня с оценкой CVSS источники не приводят. Уровень опасности в записях Chrome варьируется от Medium до Critical. Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Часть ошибок приводит к отказу в обслуживании и обходу ограничений безопасности, подробностей о них источники не раскрывают.
Код за пределами песочницы
Песочница изолирует процессы страниц от остальной системы. Когда уязвимость позволяет выполнить код вне песочницы, изоляция перестаёт защищать: полезная нагрузка получает права самого браузера. Такой сценарий описывают записи для библиотеки Skia и для сборщика мусора.
Skia отвечает за отрисовку графики. Недостаточная проверка входных данных в ней даёт выполнение произвольного кода за пределами песочницы. В сборщике мусора GarbageCollection ошибка иного рода - повреждение памяти. Условия одинаковые: жертва открывает специально собранную HTML-страницу. Учётные данные не нужны, дополнительные действия сверх открытия страницы тоже. Исход зависит от содержимого страницы, а не от настроек пользователя.
Память внутри песочницы
Многие записи описывают обращение к освобождённой памяти, или use after free. Программа обращается к участку, который уже освободила, а содержимое этого участка можно подменить. Ошибку нашли в компонентах Frames и Blink, а также в Skia, Quota, FileSystem и Input. Механизм один, точек входа несколько: страница запускает обработку кадра, ввода или файловой операции.
Другой класс - повреждение памяти. Оно затрагивает DOM, Dawn, Quota, Autofill, CacheStorage, Network и FileSystem. В компоненте Editing обнаружили целочисленное переполнение: результат арифметики выходит за пределы разрядности и меняет ход вычислений. Отдельно отмечена запись для MediaStream с уровнем Critical по шкале Chromium: повреждение памяти там позволяет читать данные внутри песочницы.
Есть и уязвимость в FileSystem с уровнем Medium. Выход за границы буфера при чтении даёт доступ к памяти внутри песочницы, но не к выполнению кода. Для администратора разница практическая: такая ошибка ведёт к утечке данных, а не к захвату устройства.
Порядок обновления
Исправленная версия - 157.0.4341.42. Microsoft рекомендует обновиться до неё или до более поздней сборки. Автообновление подтянет её само, если администраторы не отложили установку политиками. После обновления меняется немногое: страницы с тем же содержимым перестают запускать цепочку ошибок внутри движка.
Номер сборки виден в служебной странице обновления браузера. Расхождение с 157.0.4341.42 означает, что патч ещё не встал. Обходных мер, кроме обновления, источники не приводят, поэтому отложенная установка оставляет ровно тот набор ошибок, который закрывает выпуск.
Для парка рабочих станций обновление планируют так же, как обычные выпуски Edge. Проверить нужно и те машины, где браузером почти не пользуются: он остаётся установленным и продолжает открывать страницы по ссылкам из почты и документов.
Ссылки
