Rangkaian celah logika murni tanpa eksploitasi perusakan memori terbukti mampu mengubah laman web berbahaya menjadi eksekusi kode aktif di komputer berbasis Windows, tepat di luar lingkungan sandbox milik Microsoft Edge, sebagaimana dibuktikan oleh seorang peneliti keamanan siber berpengalaman.
Orange Tsai yang mewakili DEVCORE merilis metodologi lengkap peretasan tersebut ke publik pada tanggal 28 Oktober, berselang lima bulan usai rangkaian eksploitasi karyanya memenangkan hadiah sebesar 175.000 dolar AS dalam ajang bergengsi Pwn2Own Berlin pada Mei lalu. Pihak Microsoft sendiri telah menutup semua celah pada Edge sehari tepat setelah kompetisi selesai digelar, sehingga peramban yang rutin diperbarui kini dipastikan berada dalam kondisi aman.
Sandbox pada peramban web pada dasarnya berfungsi sebagai dinding pelindung kokoh yang mengisolasi kode situs agar tetap terkurung di dalam browser dan tidak mencemari bagian sistem komputer lainnya. Keberhasilan menembus isolasi pelindung tersebut lalu mengeksekusi suatu program merupakan langkah krusial yang mengubah galat biasa di situs menjadi pengambilalihan kendali perangkat secara total.
Upaya pelolosan diri dari sandbox peramban umumnya hampir selalu bertumpu pada teknik korupsi memori. Namun, aksi peretasan kali ini sama sekali tidak memanfaatkannya. Melalui laporan teknis yang diterbitkannya, Tsai merinci sebuah rangkaian yang dibangun murni dari kesalahan logika penanganan fitur-fitur standar harian di Edge dan Windows, dengan keseluruhan kode eksploitasi yang ia catat berukuran amat ringkas di bawah 100 baris kode.
Eksploitasi unik ini menghasilkan instrumen universal cross-site scripting (UXSS), yakni sebuah mekanisme eksekusi skrip JavaScript di situs web mana pun tanpa terkendali, yang berhasil melumpuhkan aturan kebijakan keamanan konten (CSP) yang seharusnya memblokir tindakan peretasan tersebut secara ketat.
Oleh karena serangan berbahaya ini diluncurkan langsung dari proses internal browser itu sendiri, serangan tersebut mampu mengakses ranah web raksasa semisal google.com yang biasanya mustahil disentuh oleh bug situs web standar. Tsai bahkan menegaskan temuan ini lebih layak dikategorikan sebagai permukaan serangan baru daripada sekadar satu kecacatan program yang berdiri terpisah.
Skenario pembobolan ini dirancang khusus untuk demonstrasi kompetisi resmi, bukan merupakan kampanye siber liar yang beredar bebas mengancam khalayak ramai. Tsai mendemonstrasikannya secara langsung di atas panggung Pwn2Own; sampai sekarang tidak dijumpai bukti yang menunjukkan eksploitasi terhadap pengguna nyata, dan lembar catatan CVE publik mengategorikan riwayat eksploitasinya pada status nihil. Salah satu tahapan demonstrasi melibatkan peluncuran ulang browser, di mana Tsai mencatat hal tersebut murni kepraktisan panggung lomba belaka dan sesungguhnya tidak mutlak dibutuhkan dalam serangan sungguhan di lapangan.
Mekanisme penyerangan berantai tersebut diawali lewat fitur bawaan Edge untuk kebutuhan proses masuk akun bisnis bernama conditional access navigation throttle. Tsai menemukan fakta bahwa mengaktifkan fungsi ini memicu proses mandiri milik browser untuk menginisiasi navigasi anyar yang terlepas dari laman pemintanya, sehingga sistem Edge secara otomatis mengaitkannya ke tab mana pun yang sedang aktif terbuka. Ketidaksesuaian relasi inilah yang menjadi celah perdana dan melahirkan kapabilitas serangan UXSS.
Guna membuat seluruh proses berjalan mulus tanpa membutuhkan interaksi klik dari korban, dibutuhkan pemanfaatan empat kelemahan tambahan lainnya. Edge sebenarnya bertugas memeriksa ketat apakah permintaan datang dari situs resmi Microsoft terpercaya, namun Tsai sukses mengelabui verifikasi tersebut dengan meluncurkan permintaan via jendela peramban kedua. Sistem pencegah jendela sembulan (pop-up blocker) milik Edge seharusnya menghadang kemunculan jendela tersebut, akan tetapi Edge menyimpan daftar putih berisikan alamat-alamat yang diizinkan, dan Tsai menemukan salah satu alamat di dalamnya dapat dimanfaatkan untuk memunculkan sembulan.
Serangan ini juga menuntut calon korban berada dalam kondisi telah masuk ke akun pengguna, sebuah prasyarat yang langsung terpenuhi secara otomatis berkat fitur auto-sign-in milik Edge saat menjelajahi situs web ekosistem Microsoft. Tahap berikutnya, rantai eksploitasi membaca alamat surel milik korban melalui situs resmi assets.msn.com, yang secara terbuka mengirimkan data identitas tersebut ke laman mana pun akibat kesalahan konfigurasi izin lintas asal (cross-origin).
Meski demikian, kemampuan menjalankan JavaScript secara bebas di sembarang situs web belum serta-merta memberikan akses kendali penuh terhadap komputer. Untuk membobol keluar dari pagar pembatas sandbox, Tsai mengeksploitasi fitur baca bawaan Edge bernama Immersive Reader, yang beroperasi di bawah skema protokol khusus read:// yang secara teledor lupa dimasukkan Microsoft ke daftar halaman terlarang dari pengeksekusian skrip.
Berangkat dari pijakan tersebut, rantai serangan memanggil fungsi internal sistem Edge yang semestinya berfungsi mengompresi log diagnostik, lalu menyalahgunakannya guna menulis berkas dengan nama dan muatan konten bebas pilihan penyerang ke partisi penyimpanan mana pun di dalam sistem penyimpanan cakram.
Aksi penulisan berkas bebas tadi dikonversi menjadi eksekusi kode penuh melalui dua proses terencana. Rangkaian eksploitasi menimpa berkas konfigurasi penentu daftar situs yang diizinkan memanggil penangan protokol khusus, lalu merestart Edge agar konfigurasi baru dimuat sistem. Eksploitasi lantas meluncurkan tautan bertipe telnet://; berhubung sistem Windows modern tidak menyertakan peranti bawaan telnet secara baku, sistem akan otomatis menelusuri path sistem untuk mencarinya dan akhirnya mengeksekusi berkas telnet palsu buatan penyerang yang telah ditaruh di direktori yang bisa ditulisi hak pengguna rendah.
Microsoft secara resmi meluncurkan pembaruan penambal celah pada tanggal 15 Mei, persis sehari pascakompetisi berakhir, melalui Edge versi Stabil 148.0.3967.70. Rilis tersebut memuat tiga tambalan spesifik Edge yang didaftarkan sebagai CVE-2026-45492, CVE-2026-45494, dan CVE-2026-45495. Kode pertama tercatat sebagai isu bypass fitur pengamanan, sedangkan kode kedua diklasifikasikan sebagai celah penipuan identitas (spoofing), di mana keduanya berdampak pada versi Edge sebelum rilisan 148.0.3967.70.
Dokumentasi resmi Microsoft memberikan skor penilaian tingkat keparahan pada angka 5,4 dari skala 10 untuk dua celah awal tersebut, sebuah peringkat ancaman tingkat menengah yang sekadar menimbang tiap bug secara terisolasi, bukan mengukur daya rusak gabungan yang menyatukannya menjadi eksekusi kode utuh. Tim DEVCORE menyebutkan bahwa tindakan perbaikan telah berhasil dirilis dalam rentang waktu 24 jam semenjak laporan diserahkan.
Melakukan pembaruan terhadap peramban Edge secara otomatis mematikan total eksploitasi berantai ini. Berhubung paket perbaikan resmi telah digulirkan semenjak Mei lalu, peramban dengan opsi pembaruan otomatis aktif dipastikan telah menerima tambalan tersebut sejak lama, sehingga pengguna tidak memerlukan langkah penanganan tambahan apa pun.
Tsai merancang dan membangun rantai serangan ini secara mandiri selama kurun waktu dua bulan penuh tanpa bantuan kecerdasan buatan, sekaligus menegaskan pentingnya nalar manusia dalam riset keamanan. "Tantangan tersulit adalah mengidentifikasinya, dan begitu Anda berhasil menemukan semuanya, merangkainya justru menjadi hal yang paling mudah," tulisnya mengenai perburuan bug logika tersebut. Riset brilian ini sukses diganjar penghargaan bergengsi Pwnie Award 2026 untuk kategori Epic Achievement.
