Microsoft Edge 156.0.4314.56 закрывает уязвимости с выполнением кода

Microsoft Edge получил исправления для двух веток браузера. Уведомление перечисляет несколько уязвимостей в компонентах движка. Часть из них даёт выполнить код при открытии страницы, часть - прочитать чужую память. При этом ещё одна позволяет обойти изоляцию сайтов, то есть разделение данных разных сайтов.

Что ломается в компонентах браузера

Записи CVE, то есть карточки опубликованных уязвимостей, датированы 27 октября 2026 года. После этого, 31 октября, вышли бюллетени безопасности. Сам документ собран 2 ноября, и с тех пор его не меняли. Edge построен на том же движке Chromium, что и Chrome. Поэтому исправления движка доходят до браузера с задержкой.

Формально записи описывают уязвимости в Google Chrome. Edge наследует тот же код движка, поэтому исправления приходят в обе ветки. Разница только в сроках и в нумерации сборок. Для администратора это значит, что ориентироваться нужно на версию Edge.

Ряд записей описывает повреждение памяти при разборе SVG, медиа и HTML. Другая группа - использование памяти после освобождения и запись за границы буфера. Кроме того, есть записи про отсутствие проверки входных данных и слабую проверку прав. По шкале CVSS, то есть по общей шкале серьёзности, у записи про манифест 3,1 балла. Это низкий уровень.

Использование памяти после освобождения означает обращение к области, которую программа уже вернула системе. Обычно это ведёт к порче данных. При этом перечень узлов широк: отрисовка графики, работа с файлами, видео и платежи. Через Skia, графическую библиотеку браузера, проходит почти любая отрисовка страницы. Поэтому сбой в ней сказывается на всём, что видит пользователь.

Условия атаки везде дистанционные. Жертве достаточно открыть подготовленную страницу. Учётные данные и права администратора при этом не нужны. Часть уязвимостей работает внутри песочницы, то есть изолированной среды браузера. Вне песочницы, на уровне операционной системы, работает другая часть.

Что известно об эксплуатации

Сведений об атаках с использованием этих уязвимостей в записях нет. По записи про манифест координатор CISA-ADP прямо указал, что эксплуатации не было. Там нужен уже взломанный процесс отрисовки и обман пользователя. Уровень риска издатель уведомления не назвал. При этом Chromium присвоил части уязвимостей уровни High и Critical.

Для организации важнее всего выход за пределы песочницы. Браузер на рабочей машине держит активные сессии внутренних систем. Кроме того, через него открывают почту, документы и панели администрирования. Поэтому код уровня системы получает доступ к данным этих сессий. Ограничить такой сценарий можно только обновлением.

Какие версии устраняют уязвимости

Уязвимы сборки Edge старше 156.0.4314.56 и старше 153.0.4234.46. Обновиться нужно до этих версий. Также уведомление не приводит отдельного перечня патчей. В разделе с решениями оно отсылает к бюллетеням Microsoft. При этом обходных мер записи не приводят.

Установка сборки закрывает весь набор уязвимостей из уведомления. Песочница снова держит код внутри. Обход изоляции сайтов тоже перестаёт работать. Однако без обновления обеих веток часть машин останется уязвимой. Проверка версии здесь важнее любых настроек браузера.

Поэтому проверку версии лучше внести в регулярный обход парка. Разница между ветками видна по номеру сборки. Номер есть в самом уведомлении. Сверять его удобно по инвентаризации рабочих машин. Иначе обновление зависит от того, заметил ли его пользователь.

Характер последствий издатель не раскрывает. Он ограничился формулировкой о некой уязвимости без подробностей и без оценки. Из-за этого точную картину дают только записи CVE. Зато в них есть тип слабости по классификации CWE. Например, CWE-787 означает запись за границы буфера.

Ссылки

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118304
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118305
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118306
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118307
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118308
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118310
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118311
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118312
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118313
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118315
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118316
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118317
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118318
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118319
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118320
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118322
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118327
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118328
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118329
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118330
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118331
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118332
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118333
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118334
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118335
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118336
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118337
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118338
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118339
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118340
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118341
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118342
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118343
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118344
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118345
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118346
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118347
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118348
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118349
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118350
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118351
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118352
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118353
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118354
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118355
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118356
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118357
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118358
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118359
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-91732