Rangkaian celah logika murni tanpa eksploitasi kerusakan memori terbukti mampu mengubah laman web berbahaya menjadi eksekusi kode bebas pada perangkat Windows di luar sandbox browser Microsoft Edge, demikian diungkapkan oleh seorang peneliti keamanan siber.
Orange Tsai dari lembaga riset keamanan DEVCORE mempublikasikan rincian metodologi serangannya secara utuh pada 28 Oktober. Publikasi ini dilakukan tepat lima bulan setelah eksploitasi berantai tersebut memenangkan hadiah uang tunai senilai 175.000 dolar AS di kompetisi peretasan Pwn2Own Berlin pada Mei lalu. Pihak Microsoft sendiri telah menambal seluruh celah pada peramban Edge sehari pasca kontes digelar, memastikan para pengguna yang menggunakan versi aplikasi terbaru sepenuhnya terlindungi dari ancaman.
Sistem sandbox pada peramban web pada dasarnya berfungsi sebagai benteng pertahanan utama yang mengurung kode pemrograman situs agar tidak merambah sistem operasi komputer induk. Berhasil melarikan diri dari batasan sandbox ini, kemudian menjalankan sebuah program komputer independen, merupakan tahapan kunci yang mengubah gangguan peramban biasa menjadi penguasaan penuh atas mesin korban.
Upaya untuk membobol sandbox peramban web selama ini hampir selalu bergantung penuh pada eksploitasi kerusakan memori. Menariknya, metode yang dikembangkan kali ini sama sekali tidak menyentuh sektor tersebut. Lewat laporan teknis resminya, Tsai memaparkan rantai serangan yang sepenuhnya disusun dari rentetan kesalahan logika saat Edge dan Windows mengelola fitur-fitur standarnya. Hebatnya lagi, ia mengonfirmasi bahwa keseluruhan skrip eksploitasi tersebut tersusun kurang dari 100 baris kode.
Dampak utama dari serangan ini adalah terciptanya sebuah instrumen universal cross-site scripting (UXSS). Celah ini membuka kemampuan mengeksekusi skrip JavaScript di alamat web mana pun, sembari meruntuhkan mekanisme content security policy yang dirancang khusus guna menghalau peretasan semacam itu.
Lantaran proses eksploitasi berakar langsung dari proses internal peramban itu sendiri, serangan ini sanggup menyusup ke domain bereputasi tinggi layaknya google.com yang lazimnya kebal terhadap celah peramban reguler. Tsai mendeskripsikan penemuan ini sebagai sebuah medan serangan baru yang terstruktur, bukan sekadar kutu program biasa yang berdiri sendiri.
Perlu dicatat bahwa rekayasa serangan ini merupakan materi pengujian kompetisi profesional, bukan serangan siber yang beredar bebas menargetkan masyarakat umum. Tsai memperagakannya langsung di panggung Pwn2Own; tidak ditemukan indikasi pemanfaatan teknik ini terhadap pengguna riil, dan dokumentasi resmi CVE mencatat status eksploitasinya nihil. Satu tahapan khusus memang memerlukan muat ulang peramban, yang diakui Tsai sekadar mempermudah demonstrasi kompetisi dan tidak mutlak diperlukan pada skenario serangan nyata.
Rantai pembobolan ini berawal dari pemanfaatan fitur navigasi korporat di Microsoft Edge yang dinamakan conditional access navigation throttle. Tsai menemukan fakta bahwa memicu fitur ini membuat proses peramban memulai navigasi baru yang terlepas dari laman pemintanya, sehingga Edge secara serampangan menempelkannya pada tab yang sedang aktif. Inkonsistensi sistemik inilah celah pertama yang memicu terciptanya kondisi UXSS.
Agar skenario eksploitasi dapat berjalan mulus tanpa membutuhkan interaksi klik dari korban, sang peneliti memerlukan empat kelemahan pendukung tambahan. Sistem Edge seharusnya memverifikasi bahwa permintaan hanya berasal dari domain resmi Microsoft, tetapi Tsai mengecoh filter tersebut dengan meluncurkan prosesnya dari jendela kedua. Mekanisme pemblokir popup milik Edge mestinya menggagalkan jendela tersebut, namun Edge kedapatan menyimpan daftar izin bawaan tertentu, dan salah satu alamat resmi di dalamnya berhasil dimanfaatkan untuk memunculkan popup.
Alur serangan ini juga menuntut calon korban berada dalam status telah masuk log akun, kondisi yang secara otomatis dipenuhi oleh fitur login bawaan Edge begitu pengguna membuka layanan web Microsoft. Terakhir, rangkaian ini mengekstrak data alamat surel pengguna dari situs internal Microsoft, assets.msn.com, yang secara keliru mengekspos informasi tersebut ke domain web luar akibat kesalahan konfigurasi pengaturan cross-origin.
Kemampuan menjalankan JavaScript di berbagai domain ternyata masih belum cukup untuk mengambil alih sistem operasi komputer. Untuk membobol keluar dari isolasi sandbox, Tsai memanfaatkan fitur mode baca milik Edge yang dikenal sebagai Immersive Reader. Fitur ini bekerja di bawah protokol khusus read:// yang alpa dicantumkan oleh Microsoft ke dalam daftar pembatasan eksekusi skrip.
Dari posisi tersebut, rantai serangan memanggil modul internal Edge yang aslinya berfungsi mengompresi berkas log diagnostik menjadi arsip zip. Fitur diagnostik tersebut disalahgunakan untuk menciptakan berkas arbitrer lengkap dengan nama dan konten bebas ke direktori mana pun di dalam penyimpanan disk.
Aksi penulisan berkas liar tersebut kemudian dikonversi menjadi eksekusi kode sistem melalui dua langkah terencana. Serangan ini menimpa konfigurasi sistem yang mengatur izin tautan protokol aplikasi pihak ketiga, dilanjutkan dengan merestart Edge agar konfigurasi baru dimuat. Skrip lantas mengeksekusi tautan telnet://; karena Windows modern secara bawaan tidak menyediakan program telnet, sistem secara otomatis mencari berkas terkait di seluruh folder sistem dan akhirnya mengeksekusi program tiruan berbahaya yang sengaja ditaruh di folder berizin rendah pengguna.
Pihak Microsoft merilis pembaruan keamanan resmi pada 15 Mei, sehari setelah kompetisi berakhir, melalui pembaruan Edge Stable versi 148.0.3967.70. Rilis tersebut memuat tiga penambalan spesifik yang didaftarkan sebagai CVE-2026-45492, CVE-2026-45494, dan CVE-2026-45495. Celah pertama diklasifikasikan sebagai jalan pintas fitur keamanan, sementara yang kedua dicatat sebagai celah penipuan identitas, keduanya menjangkau versi Edge sebelum pembaruan 148.0.3967.70.
Dokumentasi internal Microsoft memberikan peringkat keparahan 5,4 dari skala 10 untuk dua celah awal, nilai menengah yang semata-mata menakar masing-masing kutu secara terpisah, bukan bahaya total saat dirangkai hingga mengeksekusi kode sistem. DEVCORE mencatat bahwa tindakan perbaikan telah rampung dalam rentang waktu 24 jam semenjak laporan diserahkan.
Menerapkan pembaruan aplikasi Edge secara otomatis memutus total rantai serangan berbahaya ini. Mengingat patch perbaikan telah digulirkan sejak bulan Mei, peramban yang menyalakan opsi pembaruan otomatis telah lama terlindungi, sehingga pengguna tidak perlu melakukan langkah mitigasi tambahan.
Tsai merancang keseluruhan rantai eksploitasi ini secara manual selama sekitar dua bulan penuh tanpa bantuan kecerdasan buatan, sekaligus menegaskan pentingnya kapasitas penelitian manusia murni. “Bagian tersulit adalah menemukannya, dan setelah semuanya terkumpul, menyatukannya justru merupakan hal yang paling mudah,” ungkapnya mengenai perburuan celah logika tersebut. Karya riset brilian ini sukses memboyong penghargaan bergengsi Pwnie Award 2026 untuk kategori Epic Achievement.