Microsoft Edge: Exploit-Kette führt mit fünf Schwachstellen aus der Sandbox

Der Sicherheitsforscher Orange Tsai vom Sicherheitsunternehmen DEVCORE hat am 28. Oktober 2026 die technischen Details einer mehrstufigen Exploit-Kette für den Browser Microsoft Edge veröffentlicht.

Der Angriff kombiniert fünf eigenständige Schwachstellen sowie zwei Funktionen des Windows-Betriebssystems. Dadurch gelingt es, Schadcode vollständig außerhalb der isolierten Edge-Sandbox auf dem Windows-System auszuführen – und das ganz ohne die Ausnutzung von Speicherfehlern.

Die Demonstration zeichnet sich durch ihre Kompaktheit aus: Der gesamte Exploit umfasst weniger als 100 Zeilen Code. Wie Tsai darlegte, erforderte die Entwicklung der Kette rund zwei Monate akribische Handarbeit ohne den Einsatz künstlicher Intelligenz. Für diese Forschungsleistung wurde die Arbeit mit dem renommierten Pwnie Award 2026 in der Kategorie „Epic Achievement“ ausgezeichnet.

Mehrstufiger Ausbruch über Browser-Komponenten

Den Ausgangspunkt des Angriffs bildet eine Lücke im sogenannten Conditional Access Navigation Handler von Edge. Diese Komponente bindet eine Navigation nicht fest an den ursprünglichen Tab, während Chromium stattdessen den aktuell aktiven Tab nutzt. Die Folge ist ein universelles Cross-Site-Scripting (UXSS), das selbst die Schutzmechanismen der Content Security Policy aushebelt und Zugriff auf fremde Domains wie google.com ermöglicht.

Um die Sicherheitsarchitektur weiter zu durchdringen, überwand Tsai vier zusätzliche Barrieren: einen fensterübergreifenden Bypass der Trusted-Source-Prüfung mittels GetLastCommittedURL, eine hardcodierte Ausnahme für Pop-up-Fenster unter about:blank#quickAuthPopup, das Einschleusen eines signierten Profils über den OneAuth-Auto-Sign-in sowie eine fehlerhafte CORS-Konfiguration auf assets.msn.com, die das Auslesen der E-Mail-Adresse des Opfers ermöglichte.

Angesichts der Entdeckung solch komplexer Exploit-Ketten wird deutlich, wie wichtig ein proaktiver Basisschutz für den eigenen Rechner ist. Dieser kostenlose Experten-Report zeigt Ihnen, wie Sie Ihren Windows-PC in wenigen Schritten effektiv vor Viren und unbefugten Zugriffen schützen. Kostenlosen Experten-Report zum PC-Schutz herunterladen

Der eigentliche Ausbruch aus der Edge-Sandbox erfolgte schließlich über den integrierten Plastischen Reader (Immersive Reader), dessen read://-Schema im Browser nicht gesperrt war.

Über eine Path-Traversal-Schwachstelle sowie ein Null-Byte in der internen Feedback-Protokollfunktion chrome.edgeFeedbackPrivate.zipDiagnosticLogFiles() gelang es Tsai, beliebige Dateien auf das System zu schreiben. Durch das Überschreiben der Konfigurationsdatei protocols.json in Verbindung mit dem telnet://-Handler konnte letztlich beliebiger Code im Systemkontext ausgeführt werden.

Voraussetzungen und Schutzmaßnahmen

Wer sich mit der Sicherheit seiner digitalen Identität befasst, sollte auch den Schutz seiner Zugangsdaten nicht vernachlässigen, um Datendiebe wirksam auszubremsen. In diesem kostenlosen PDF-Ratgeber erfahren Sie, wie Sie alle Ihre Passwörter sicher und verschlüsselt auf dem eigenen Computer verwalten. Kostenlosen Guide für sichere Passwort-Verwaltung sichern

Als praktische Voraussetzung für einen erfolgreichen Angriff nennt Tsai, dass das jeweilige Ziel mit einem Microsoft-Konto am System angemeldet sein muss. Während der Exploit im ursprünglichen Wettbewerbsszenario noch einen Neustart des Browsers vorsah, betonte der Forscher, dass dieser Schritt für einen realen Angriff technisch nicht zwingend erforderlich sei.

Bislang gibt es keine Hinweise darauf, dass die Kette vor der Schließung in freier Wildbahn ausgenutzt wurde; der CVE-Ausnutzungsstatus wird weiterhin als „none“ geführt. Nutzer sind geschützt, sofern sie die Browser-Version Microsoft Edge 148.0.3967.70 oder eine neuere Ausgabe installiert haben.