Uma sequência de falhas lógicas e sem corrupção de memória (erros no funcionamento do programa) permitiu que o navegador Microsoft Edge sofresse uma invasão completa a partir de uma página maliciosa. A brecha transformou códigos simples em comandos executados em um computador com Windows fora do ambiente protegido, em um caso descoberto em maio.A falha foi demonstrada pelo pesquisador Orange Tsai, integrante da equipe DEVCORE, que publicou a metodologia completa nesta quarta-feira (28) em um artigo técnico. A demonstração rendeu um prêmio de 175 mil dólares (cerca de R$ 942 mil) durante a competição Pwn2Own realizada em Berlim, na Alemanha, conforme detalhado nos registros da Zero Day Initiative (ZDI). A Microsoft corrigiu as vulnerabilidades no navegador no dia seguinte ao evento, de modo que os usuários com o software atualizado não enfrentam riscos, segundo as notas oficiais de segurança da empresa.A mecânica da invasão baseada em lógicaO modelo tradicional de invasão de navegadores depende de falhas técnicas complexas de memória para burlar as barreiras do sistema. No entanto, a pesquisa de Orange Tsai utilizou exclusivamente erros simples na forma como o Edge e o Windows gerenciam recursos comuns. Com menos de 100 linhas de código, o programa malicioso conseguiu gerar um mecanismo de execução universal e burlar proteções básicas de segurança.“A parte difícil é encontrá-los e, uma vez encontrados todos, encadear é a parte mais fácil”, afirmou o pesquisador Orange Tsai, em publicação técnica sobre o desenvolvimento da falha. A tabela de pontuação e prémios do primeiro dia do Pwn2Own Berlin 2026 destaca a equipa DEVCORE na liderança com um total de $205.000 em prémios e 20,5 pontos conquistados. Foto: Reprodução/Z A cadeia de eventos começou com uma ferramenta empresarial do Edge voltada para autenticação de contas. O especialista constatou que o acionamento desse mecanismo permitiu que o processo do navegador iniciasse uma nova navegação desvinculada da página original, e ligou o processo à aba aberta no momento.Encadeamento de vulnerabilidades e correção imediataPara que o ataque funcionasse sem a necessidade de cliques por parte do usuário, foram exploradas outras quatro fragilidades no ecossistema da Microsoft. O processo envolveu desviar de verificações de segurança utilizando uma segunda janela, contornar bloqueadores de pop-up por meio de endereços permitidos, aproveitar o login automático e extrair o e-mail da vítima de um serviço associado devido a falhas na troca de dados entre servidores.Com o acesso obtido, o pesquisador utilizou a ferramenta de leitura imersiva do navegador e manipulou funções de arquivos de diagnóstico para sobrescrever arquivos do sistema e realizar alterações no computador. A Microsoft implementou a correção em 15 de maio na versão estável 148.0.3967.70 do Edge, e solucionou as falhas registradas sob os identificadores CVE-2026-45492, CVE-2026-45494 e CVE-2026-45495.Confirmed! Orange Tsai (@orange_8361) of DEVCORE Research Team (@d3vc0r3) chained 4 logic bugs to achieve a sandbox escape on Microsoft Edge, earning $175,000 and 17.5 Master of Pwn points. Full win! #Pwn2Own #P2OBerlin pic.twitter.com/vJaIpGG4cD— TrendAI Zero Day Initiative (@thezdi) May 14, 2026 “A Microsoft está ciente dos recentes relatórios e atualizações, mantendo o compromisso de garantir a segurança dos produtos por meio de correções rápidas integradas aos canais oficiais de atualização”, indicam os registros corporativos da empresa sobre o ciclo de atualizações de segurança do navegador.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.