Microsoft Edge содержит уязвимости, которые позволяют удалённому злоумышленнику выполнить код, повысить привилегии и вызвать отказ в обслуживании. Под угрозой обе ветки браузера: сборки для Android и для настольных систем. Атака идёт по сети, поэтому физический доступ к устройству не нужен. Достаточно, чтобы пользователь открыл специально подготовленную страницу или файл. Вендор перечисляет восемь типов последствий; среди них удалённое выполнение кода, отказ в обслуживании и повышение привилегий. В список входят также обход ограничений безопасности, раскрытие информации, подмена интерфейса, межсайтовый скриптинг и манипуляция данными.
Множественные уязвимости Edge затрагивают Android и настольные сборки
Исправления вышли сразу в двух ветках. Владельцам Android нужна версия 155.0.4283.61 или новее. На настольных системах порог иной, 155.0.4283.62 и выше. Список идентификаторов занимает больше сотни строк, от CVE-2026-106260 до CVE-2026-110172, причём отдельный блок номеров 110136-110172 добавлен к основной массе. Оценок CVSS в исходных данных нет. Сообщений об эксплуатации в реальных атаках источник не приводит. Сведений об опубликованном эксплойте (вредоносном коде, использующем уязвимость) в нём тоже нет. При этом браузер обрабатывает чужой контент постоянно, так что окно между раскрытием деталей и обновлением парка имеет значение.
Выполнение кода и повышение привилегий
Удалённое выполнение кода в браузере даёт злоумышленнику права пользователя. Он может читать файлы, устанавливать программы и менять настройки системы. Повышение привилегий расширяет этот доступ. Браузер держит вкладки в песочнице, то есть в изолированной среде с урезанными правами. Уязвимость этого класса позволяет выйти за её пределы. Две проблемы, применённые вместе, дают контроль над системой. Отказ в обслуживании выглядит скромнее, зато приводит к зависанию или аварийному закрытию браузера. Для части сценариев хватает одного перехода по ссылке.
Межсайтовый скриптинг и подмена содержимого
Межсайтовый скриптинг позволяет выполнить чужой сценарий на странице другого сайта. Жертва при этом видит привычный адрес. Через такую вставку воруют данные сеанса и действуют от имени пользователя. Подмена работает иначе. Интерфейс браузера или адресная строка показывают не то, что происходит на самом деле. Манипуляция данными дополняет картину: злоумышленник меняет содержимое, которое пользователь считает достоверным. Раскрытие информации опасно утечкой сведений, накопленных в профиле. Обход ограничений безопасности снимает часть защиты, на которую рассчитывает посетитель сайта.
Обновление до версий 155.0.4283.61 и 155.0.4283.62
Android-сборку обновляют через магазин приложений. На настольных системах версию проверяют в меню настроек браузера. После установки нужен перезапуск, иначе старая сборка работает до закрытия всех окон. Корпоративным пользователям удобнее развернуть пакет средствами управления обновлениями. Пока парк не обновлён, доступ к внутренним ресурсам из устаревших сборок ограничивают на уровне прокси или шлюза. Отдельная проверка нужна для терминалов, где браузер не входит в стандартный набор управляемого ПО.
Браузер остаётся частой целью атак, потому что он открыт в сеть и разбирает чужой код. Обновления для Edge выходят регулярно, и пропуск нескольких выпусков накапливает риск. Домашние пользователи откладывают перезапуск, а корпоративные сети держат устаревшие сборки месяцами. Версии 155.0.4283.61 и 155.0.4283.62 закрывают описанный набор проблем, поэтому установку лучше не откладывать.
Ссылки
- https://learn.microsoft.com/en-us/DeployEdge/microsoft-edge-relnotes-security#october-19-2026
- https://learn.microsoft.com/en-us/DeployEdge/microsoft-edge-relnotes-security#october-16-2026
