Microsoft Edge'i 175.000 Dolar Kazandıran Açık Zinciri: Bellek Hatası Yok, Tam Kontrol Var

Güvenlik dünyasında tarayıcı korumalı alanından (sandbox) kaçış denemeleri neredeyse her zaman bellek bozulmasına dayanır. DEVCORE'dan Orange Tsai, Mayıs ayında Almanya'nın başkenti Berlin'de düzenlenen Pwn2Own yarışmasında bu kalıbı tersine çevirdi: Tek bir bellek hatası kullanmadan, yalnızca Edge ve Windows'un sıradan özelliklerindeki mantık açıklarını zincirleyerek tarayıcının dışına çıktı ve Windows üzerinde kod çalıştırdı. Bu performans ona 175.000 dolar ödül kazandırdı. Tsai, yöntemini yarışmadan beş ay sonra, 28 Ekim'de kamuoyuyla paylaştı.

Korumalı Alan Neden Bu Kadar Önemli?​

Tarayıcı korumalı alanı, bir web sayfasının kodunun tarayıcının içinde kalmasını ve bilgisayarın geri kalanına sızmamasını sağlayan katmandır. Bu duvarı aşmak ve ardından bir program çalıştırmak, sıradan bir web açığını makinenin tam kontrolüne dönüştürür. Tsai'nin zinciri bu hedefe ulaştı; üstelik bunu 100 satırın altında kodla ve yaklaşık iki aylık el emeğiyle, yapay zeka yardımı almadan gerçekleştirdi. Araştırmacı, zincirin tamamını mantık hatalarından oluşturduğunu ve bunun tek seferlik bir açık değil, yeni bir saldırı yüzeyi olduğunu vurguluyor.
Zincirin ilk halkası, Edge'in kurumsal oturum açma akışında kullanılan koşullu erişim gezinme kısıtlayıcısında (conditional access navigation throttle) başlıyor. Tsai, bu özelliği tetiklemenin tarayıcının kendi işlemine ait yeni bir gezintiye yol açtığını ve bu gezintinin sayfadan bağımsız biçimde açık olan sekmeye bağlandığını keşfetti. Oluşan uyumsuzluk, herhangi bir web sitesinde JavaScript çalıştırmayı mümkün kılan evrensel siteler arası betik çalıştırma (UXSS) ilkelini doğuruyor. Saldırı tarayıcının kendi işleminden başladığı için google.com gibi normalde erişilemeyen sitelere bile ulaşabiliyor.

Beş Zayıflıktan Oluşan Bir Zincir​

UXSS'i tıklama gerektirmeden çalıştırmak için dört ek zayıflık daha gerekti. Edge, isteğin güvenilir bir Microsoft sitesinden geldiğini doğruluyordu; Tsai bu kontrolü ikinci bir pencereden istek açarak atlattı. Açılır pencere engelleyicisi bu ikinci pencereyi durdurması gerekirken Edge'in içinde sabit kodlanmış izin verilen adresler listesindeki bir giriş, pencerenin açılmasına izin verdi. Saldırının işleyebilmesi için kurbanın bir Microsoft sitesine zaten oturum açmış olması gerekiyordu; Edge'in otomatik oturum açma özelliği bunu kullanıcı fark etmeden sağlıyor. Son olarak zincir, kurbanın e-posta adresini assets.msn.com adresinden okudu; bu alan, yanlış yapılandırılmış bir çapraz kaynak ayarı nedeniyle adresi herhangi bir web sitesine döndürüyordu.
Her yerde JavaScript çalıştırabilmek yine de bilgisayarın kontrolünü ele geçirmek anlamına gelmiyor. Korumalı alandan çıkmak için Tsai, Edge'in okuma modu olan Immersive Reader'ı kullandı. Bu özellik özel bir read:// adresi altında çalışıyor ve Microsoft bu adresi betik çalıştırmaktan men edilen sayfalar listesine dahil etmemişti. Buradan zincir, tanılama günlüklerini sıkıştırmak için tasarlanmış dahili bir Edge işlevini kötüye kullanarak disk üzerinde herhangi bir konuma, saldırganın seçtiği ad ve içerikle dosya yazmayı başardı.

Dosya Yazımından Kod Çalıştırmaya​

Dosya yazma yeteneği, iki adımda kod çalıştırmaya dönüştürüldü. Zincir önce hangi web sitelerinin hangi protokol işleyicilerini başlatabileceğini denetleyen yapılandırma dosyasının üzerine yazdı, ardından Edge'i yeniden başlatarak bu dosyanın okunmasını sağladı. Sonraki adımda bir telnet:// bağlantısı başlatıldı. Windows varsayılan olarak bir telnet programıyla gelmiyor; bu nedenle sistem, yolu üzerinde böyle bir program arayıp buluyor ve saldırganın düşük ayrıcalıklı kullanıcının yazabildiği bir klasöre yerleştirdiği kopyayı çalıştırıyor. Tsai, zincirdeki tarayıcıyı yeniden başlatma adımının yarışma için bir kolaylık olduğunu ve gerçek bir saldırıda bu adımın gerekmeyeceğini belirtiyor.
Microsoft, açıkları yarışmanın ertesi günü, 15 Mayıs'ta Edge Stable 148.0.3967.70 sürümüyle kapattı. Üç Edge'e özgü düzeltme CVE-2026-45492, CVE-2026-45494 ve CVE-2026-45495 olarak izlendi. İlki güvenlik özelliği atlatma, ikincisi sahte içerik (spoofing) hatası olarak sınıflandırıldı ve her ikisi de 10 üzerinden 5,4 puan aldı; bu orta düzey skor, tek başına değerlendirilen bireysel hataları yansıtıyor, zincirin bütünü olarak oluşturduğu kod çalıştırma riskini değil. DEVCORE, düzeltmenin açıklamadan itibaren 24 saat içinde yayımlandığını duyurdu. Bu araştırma, 2026 Pwnie Ödülleri'nde Epik Başarı ödülünü kazandı.
Bu saldırı yarışma ortamında gösterildi ve gerçek kullanıcılara karşı kullanıldığına dair herhangi bir kanıt bulunmuyor. Kamuya açık CVE kayıtları da istismarın doğada gözlemlenmediğini teyit ediyor. Otomatik güncellemeleri açık olan bir tarayıcı, düzeltmeyi Mayıs'ta zaten almış durumda; ek bir işlem gerekmiyor.

Sıkça Sorulan Sorular​

Orange Tsai bu açık zincirini nasıl geliştirdi?​

Tsai, zinciri yaklaşık iki ay boyunca tamamen el emeğiyle, yapay zeka yardımı almadan oluşturdu. Tüm istismar 100 satırın altında kod içeriyor ve yalnızca Edge ile Windows'un sıradan özelliklerindeki mantık hatalarından yararlanıyor; hiçbir bellek bozulması tekniği kullanılmıyor.

Pwn2Own Berlin'de bu zincir için ödenen ödül ne kadardı?​

Zincir, Mayıs ayında Berlin'de düzenlenen Pwn2Own yarışmasında 175.000 dolar ödül kazandırdı.

Microsoft açıkları ne zaman kapattı?​

Microsoft, açıkları yarışmanın ertesi günü olan 15 Mayıs'ta Edge Stable 148.0.3967.70 sürümüyle kapattı. Düzeltme, DEVCORE'un açıklamasından itibaren 24 saat içinde yayımlandı.

Saldırı gerçek kullanıcılara karşı kullanıldı mı?​

Hayır. Bu bir yarışma istimarıydı ve gerçek kullanıcılara karşı kullanıldığına dair herhangi bir kanıt bulunmuyor. Kamuya açık CVE kayıtları da doğada istismar olmadığını teyit ediyor.

Korumalı alandan kaçmak için hangi Edge özelliği kötüye kullanıldı?​

Zincir, Edge'in okuma modu olan Immersive Reader'ı kullandı. Bu özellik özel bir read:// adresi altında çalışıyor ve Microsoft bu adresi betik çalıştırmaktan men edilen sayfalar listesine dahil etmemişti. Buradan dahili bir tanılama işlevi kötüye kullanılarak diske dosya yazıldı ve ardından kod çalıştırıldı.