DEVCORE研究員公布在Pwn2Own競賽揭露的Edge攻擊鏈，串連5個弱點突破瀏覽器防護機制

臺灣資安公司DEVCORE首席資安研究員Orange Tsai（蔡政達）於10月28日，公開在漏洞挖掘競賽Pwn2Own Berlin 2026首度展示的Edge瀏覽器完整攻擊鏈細節，過程中只利用邏輯漏洞，不依賴記憶體損毀，成功突破瀏覽器安全防護，最終在作業系統執行任意程式碼。Orange強調，該漏洞利用鏈完全使用手工打造，研究費時兩個月，過程並未借助AI的力量，利用程式碼大約接近100行。

這項發現讓DEVCORE團隊在上述競賽獲得瀏覽器項目最高的17.5萬美元獎金及17.5個抓漏大師積分，Orange也因此在2026 Pwnie Awards奪下年度史詩成就獎（Epic Achievement）。相關弱點微軟於5月15日發布Edge 148.0.3967.70版更新修補，並登記為CVE-2026-45492、CVE-2026-45494，以及CVE-2026-45495列管。

這條攻擊鏈由5個漏洞及兩種Windows功能串連而成，首先，Orange鎖定Edge的導覽節流機制（Navigation Throttles），利用該瀏覽器為企業Microsoft Entra ID條件式存取功能實作的導覽機制，會在特定條件成立時，根據網址查詢參數重新發起導覽，卻未充分確認跨視窗的來源關係，因而可能讓攻擊者操控瀏覽器導覽流程。

接著，他結合Edge對特定網址寫死的白名單，繞過彈出視窗封鎖機制，再利用OneAuth自動登入功能取得使用者登入狀態，並搭配微軟網站的跨來源資源共享（CORS）設定缺陷，讀取登入使用者的電子郵件地址。透過這些條件，攻擊者便能觸發通用跨站指令碼（UXSS）攻擊，在其他網站的執行環境中執行JavaScript指令碼，過程中不需要使用者點擊。

在成功取得UXSS能力後，Orange進一步利用Edge的沉浸式閱讀器（Immersive Reader），原因是Edge使用的read://特殊通訊協定未被完整納入相關安全限制，使攻擊者能在具有較高權限的網頁介面中呼叫原生功能，並濫用診斷記錄封裝功能，突破暫存目錄限制，達成任意檔案寫入。最後，Orange透過覆寫Edge的protocols.json設定檔，修改不同網站來源可啟動的URL通訊協定處理程式，再利用Windows的telnet://處理機制及可寫入的程式搜尋路徑，讓系統執行攻擊者放置的程式，完成任意程式碼執行。

針對這項研究成果，Orange指出，挖掘邏輯漏洞的主要挑戰，在於發現不同元件之間的信任關係與控制流程缺陷。他也認為，通用跨站指令碼原語（UXSS primitive）是新型態的攻擊面，因此將會進行相關研究，然後再將成果與AI龍頭分享。Orange也透露上述攻擊鏈他也找出新的變形，其中包括從小算盤觸發類似的攻擊鏈啟動Edge（弱點被登記為CVE-2026-58608），以及將上述攻擊鏈移植到Chrome（即將完成），並預計在11月於日本舉行的資安會議Code Blue公布相關成果。