Microsoft выпустила исправления для браузера Edge. Они закрывают уязвимости в компонентах Chromium - открытого движка, на котором построен Edge. Часть уязвимостей позволяет выполнить произвольный код внутри изолированной среды браузера, часть - за её пределами. Другие дают читать память процесса и ведут к утечке данных, которую Microsoft описывает общими словами.
Уведомление вышло 5 ноября 2026 года и опирается на бюллетени безопасности Microsoft Edge от 4 ноября. Затронуты все сборки старше 156.0.4314.58. Этот номер виден в свойствах браузера.
Что именно исправлено
Edge собирают на Chromium, поэтому исправления Microsoft повторяют по смыслу исправления Chrome. Записи CVE перечисляют уязвимости в кадрах страниц, отрисовке, JavaScript-движке, сетевом стеке, файловой системе и автозаполнении. Общий код означает и общий график: правка в Chromium доезжает до Edge отдельной сборкой.
Не все записи адресованы Edge напрямую. У CVE-2026-118309, CVE-2026-118314 и CVE-2026-118321 затронутым продуктом указан Google Chrome на Android до 156.0.8078.73. Речь там идёт об интерфейсе и ядре движка, а код исполняется и внутри песочницы, и за её пределами.
Уязвимости в работе с памятью
Запись CVE-2026-119263 описывает порчу памяти в сборке мусора. Сборщик освобождает участки, на которые больше никто не ссылается; сбой в этой логике позволяет перезаписать соседние данные. Уровень опасности в записи - высокий. Воспользоваться уязвимостью можно через специально собранную HTML-страницу, и код при этом выходит за границы песочницы.
Отдельный случай - CVE-2026-119268, целочисленное переполнение в модуле редактирования. Целочисленное переполнение возникает, когда результат вычисления не помещается в разрядную сетку и молча меняет значение. Дальше неверное число работает как длина буфера. Здесь код остаётся внутри песочницы, а уровень опасности тоже высокий.
Третья запись, CVE-2026-119269, говорит об обращении к освобождённой памяти в Blink, движке разметки. Объект освободили, указатель на него остался, и следующее обращение уходит по чужому адресу. Код исполняется внутри песочницы, уровень опасности высокий.
Чтение памяти и данные пользователя
CVE-2026-119272 - чтение за границами буфера в файловой подсистеме. Браузер отдаёт данные, которых в буфере быть не должно, и запись относит это к среднему уровню опасности. Исполнения кода нет, зато утечка памяти помогает искать в ней сессионные токены и содержимое открытых страниц.
Критическим по шкале Chromium помечен CVE-2026-76024 - порча памяти в MediaStream, компоненте для работы с медиапотоками. Описание говорит о потенциальном чтении памяти внутри песочницы. Даже чтение здесь опасно: в памяти процесса лежат ключи сессий и тексты открытых документов.
Кого это касается и что делать
Атака идёт по сети и не требует учётных данных. Нужна лишь специально собранная страница, которую пользователь откроет сам. Песочница ограничивает доступ к операционной системе, но часть уязвимостей выводит исполнение кода за её границы. Тогда браузер перестаёт быть преградой между сайтом и системой.
Один из рисков Microsoft не раскрывает и называет не специфицированным издателем. Второй риск в уведомлении - утечка конфиденциальных данных. Исправление вышло в составе Edge 156.0.4314.58. Записи CVE собственного номера исправленной версии не приводят и указывают только пороги: Chrome до 156.0.8078.73 и Chrome до 156.0.8078.79.
Сведений об эксплуатации в реальных атаках нет ни в уведомлении, ни в записях. Приоритет поэтому зависит от скорости обновления парка. Edge обновляется сам, однако в управляемых организациях сборку сначала проверяют на тестовой группе. Проверить нужно версию 156.0.4314.58 и новее, а отложенные обновления - установить.
Ссылки
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118309
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118314
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118321
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119260
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119261
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119262
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119263
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119264
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119265
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119266
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119267
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119268
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119269
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119270
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119271
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119272
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-122518
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76024
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76025
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76026
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76027
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76028
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76029
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76030
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-76031
