Uma sequência de falhas lógicas e sem corrupção de memória (erros no funcionamento do programa) permitiu que o navegador Microsoft Edge sofresse uma invasão completa a partir de uma página maliciosa. A brecha transformou códigos simples em comandos executados em um computador com Windows fora do ambiente protegido, em um caso descoberto em maio.

A falha foi demonstrada pelo pesquisador Orange Tsai, integrante da equipe DEVCORE, que publicou a metodologia completa nesta quarta-feira (28) em um artigo técnico. A demonstração rendeu um prêmio de 175 mil dólares (cerca de R$ 942 mil) durante a competição Pwn2Own realizada em Berlim, na Alemanha, conforme detalhado nos registros da Zero Day Initiative (ZDI).

A Microsoft corrigiu as vulnerabilidades no navegador no dia seguinte ao evento, de modo que os usuários com o software atualizado não enfrentam riscos, segundo as notas oficiais de segurança da empresa.

A mecânica da invasão baseada em lógica

O modelo tradicional de invasão de navegadores depende de falhas técnicas complexas de memória para burlar as barreiras do sistema. No entanto, a pesquisa de Orange Tsai utilizou exclusivamente erros simples na forma como o Edge e o Windows gerenciam recursos comuns. Com menos de 100 linhas de código, o programa malicioso conseguiu gerar um mecanismo de execução universal e burlar proteções básicas de segurança.

“A parte difícil é encontrá-los e, uma vez encontrados todos, encadear é a parte mais fácil”, afirmou o pesquisador Orange Tsai, em publicação técnica sobre o desenvolvimento da falha.

A cadeia de eventos começou com uma ferramenta empresarial do Edge voltada para autenticação de contas. O especialista constatou que o acionamento desse mecanismo permitiu que o processo do navegador iniciasse uma nova navegação desvinculada da página original, e ligou o processo à aba aberta no momento.

Encadeamento de vulnerabilidades e correção imediata

Para que o ataque funcionasse sem a necessidade de cliques por parte do usuário, foram exploradas outras quatro fragilidades no ecossistema da Microsoft. O processo envolveu desviar de verificações de segurança utilizando uma segunda janela, contornar bloqueadores de pop-up por meio de endereços permitidos, aproveitar o login automático e extrair o e-mail da vítima de um serviço associado devido a falhas na troca de dados entre servidores.

Com o acesso obtido, o pesquisador utilizou a ferramenta de leitura imersiva do navegador e manipulou funções de arquivos de diagnóstico para sobrescrever arquivos do sistema e realizar alterações no computador. A Microsoft implementou a correção em 15 de maio na versão estável 148.0.3967.70 do Edge, e solucionou as falhas registradas sob os identificadores CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495.

Confirmed! Orange Tsai (@orange_8361) of DEVCORE Research Team (@d3vc0r3) chained 4 logic bugs to achieve a sandbox escape on Microsoft Edge, earning $175,000 and 17.5 Master of Pwn points. Full win! #Pwn2Own #P2OBerlin pic.twitter.com/vJaIpGG4cD

— TrendAI Zero Day Initiative (@thezdi) May 14, 2026

“A Microsoft está ciente dos recentes relatórios e atualizações, mantendo o compromisso de garantir a segurança dos produtos por meio de correções rápidas integradas aos canais oficiais de atualização”, indicam os registros corporativos da empresa sobre o ciclo de atualizações de segurança do navegador.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.