Microsoft Edge позволяет выполнять код по сети и обходить политику безопасности

В Microsoft Edge обнаружены несколько уязвимостей, которые позволяют выполнять произвольный код по сети и обходить политику безопасности браузера. Произвольное выполнение кода означает, что атакующий запускает свои команды в процессе браузера, а не просто меняет вид страницы. Политика безопасности задаёт правила, по которым браузер решает, какое содержимое страницы можно загружать и исполнять, а её обход снимает эти ограничения. Затронуты ветки 156.x и 149.x.

Путаница типов в движке Chromium и условия атаки

Одну из проблем вендор описал под идентификатором CVE-2026-62765. Это путаница типов (type confusion): две части программы по-разному представляют структуру одного объекта, и браузер работает с памятью по неверным правилам. Edge построен на движке Chromium - открытом компоненте, который отвечает за разбор страниц и исполнение скриптов. Код в итоге исполняется в процессе браузера, то есть с теми правами, которые выданы ему в системе. Оценка CVSS 3.1 - 7.5 из 10, уровень High; CVSS это шкала от 0 до 10, где больше значит опаснее.

Условия атаки запись описывает частично. Атака идёт по сети, учётные данные не нужны: вендор говорит о неавторизованном атакующем. Нужно ли участие пользователя, не уточняется - соответствующие поля вектора в переданных данных пусты. Что именно должен сделать человек, чтобы ошибка сработала, в записи не расписано. Эти детали приведены в бюллетене Microsoft по этому идентификатору.

Обход политики безопасности требует пояснения. Политика задаёт браузеру перечень источников, которым разрешено поставлять скрипты, кадры и стили. Если ограничение удаётся обойти, содержимое одного источника получает влияние на другой, а запреты на исполнение скриптов перестают действовать. Для администратора это значит, что изоляция содержимого страниц, на которую рассчитаны многие настройки браузера, работает не полностью. Уведомление называет обход политики и выполнение кода как отдельные последствия, поэтому одно не вытекает из другого автоматически.

Остальные идентификаторы в переданных записях не имеют ни описания, ни оценки, ни списка продуктов. Уведомление связывает их с теми же последствиями: удалённым выполнением кода и обходом политики безопасности. Чем одна проблема отличается от другой, видно только по бюллетеням Microsoft. Ссылки на них собраны в справочном разделе уведомления, там же указаны записи на портале cve.org.

Затронутые сборки названы прямо: Microsoft Edge 156.x старше 156.0.4314.42 и сборки старше 149.0.4022.62. Обновление до 156.0.4314.42 либо до 149.0.4022.62 закрывает проблему в соответствующей ветке. Номера для веток разные, поэтому при проверке сверяются с той строкой, которая относится к установленной сборке. Отдельного перечня исправленных пакетов уведомление не даёт - за ним оно отсылает к бюллетеням вендора.

Обходных мер уведомление не приводит, поэтому остаётся установка обновления. Сведений об эксплуатации в реальных атаках нет. Публичное раскрытие деталей 27 октября 2026 года означает, что технические подробности стали доступны, а не то, что уязвимость уже используют. Отличить раскрытие от атаки важно при расстановке приоритетов: сам бюллетень о волне атак не говорит. Последнее обновление документа датировано 28 октября 2026 года.

Значимость определяется выполнением кода по сети: учётные данные для атаки не нужны, а браузер на рабочем месте сам обращается к внешним сайтам. Пока обновление не установлено, машины с устаревшей сборкой остаются уязвимыми. Если в парке есть терминальные серверы, где браузер открывают многие сотрудники, проверку сборки там проводят в первую очередь. Обновление до названных сборок остаётся единственной мерой, которую приводит уведомление.