Windows 11 açılırken ekranında Windows logosu görünen bir Microsoft Surface dizüstü bilgisayar; temsili fotoğraf (Edge'i ya da haberdeki istismarı göstermez)

Tayvan merkezli güvenlik şirketi DEVCORE bünyesinde çalışan araştırmacı Orange Tsai, Pwn2Own Berlin 2026'da ZDI'ye göre 175.000 dolar kazandıran Microsoft Edge tam zincir istismarının yöntemini 28 Ekim 2026 tarihinde yayımladı. Yayımlanan yöntem, bellek bozulması tekniklerine başvurmadan, tamamen mantık hatalarını birleştirerek kötü amaçlı bir web sayfasının ziyaret edilmesiyle Windows işletim sisteminde kod çalıştırmayı başarıyor. Microsoft, zincirdeki açıkları 15 Mayıs 2026 tarihinde yayımladığı Edge 148.0.3967.70 sürümüyle kapatmıştı.

Zincir nasıl işliyor

Araştırmacının aktardığına göre zincir, beş farklı yazılım hatası ile iki Windows özelliğinin bir araya getirilmesinden oluşuyor ve hazırlanan istismar kodu 100 satırdan kısa sürüyor. Saldırının ilk aşamasında, Edge tarayıcısının kurumsal Entra ID Koşullu Erişim yönlendirme mekanizmasındaki bir mantık hatası hedef alındı. Bu açık, tarayıcının kendi başlattığı bir sayfa geçişinin aktif sekmeye bağlanmasını sağladı ve İçerik Güvenlik Politikasını (CSP) aşan bir evrensel siteler arası betik çalıştırma (UXSS) zafiyeti oluşturdu.

Sayfayı açan kurbanın başka bir işlem yapmasına gerek kalmaması için güvenilir site denetimlerinin aşılması, açılır pencere engelleyicisindeki sabit izin listesi, Edge'in Microsoft servislerinde otomatik oturum açma davranışı ve bir MSN servisindeki hatalı CORS yapılandırması zincire eklendi. Bu yapılandırma hatası, oturum açmış kullanıcının e-posta adresinin dış sitelere sızdırılmasına yol açtı.

Sandbox kaçışı aşamasında ise Edge'in okuma modu Immersive Reader'a ait özel adres şemasının engel listesinde yer almadığı, bu yüzden ayrıcalıklı bir iç sayfada betik çalıştırılabildiği görüldü. Bu ayrıcalıklı sayfa üzerinden hareket eden araştırmacı, tanılama günlüklerini paketleyen tarayıcı işlevindeki dizin geçişi hatasını kullanarak diske istenen dosyayı yazdırdı. Ardından protokol işleyici ayarları değiştirilerek Windows'un, kullanıcının yazabildiği klasördeki programı çalıştırması sağlandı; böylece tarayıcının korumalı alanı (sandbox) aşılarak kod çalıştırıldı. Kurbanın bu zincirde yalnızca kötü amaçlı sayfayı ziyaret etmesi yeterli oluyordu. Araştırmacı, yöntemdeki tarayıcıyı yeniden başlatma adımının yalnızca yarışma kuralları gereği uygulandığını, gerçek bir saldırıda buna gerek duyulmadığını belirtti.

Microsoft ne düzeltti

TrendAI Zero Day Initiative (ZDI), 14 Mayıs 2026 tarihinde araştırmacının dört mantık hatasını birleştirerek sandbox kaçışı elde ettiğini, 175.000 dolar ödül ve 17,5 Master of Pwn puanı aldığını açıklamıştı. Microsoft ise 15 Mayıs 2026 tarihinde yayımladığı 148.0.3967.70 kararlı sürümüyle CVE-2026-45495, CVE-2026-45494 ve CVE-2026-45492 kodlu üç Edge zafiyetini kapattı. Güncelleme iOS tarafına 19 Mayıs 2026, Android tarafına ise 21 Mayıs 2026 tarihlerinde sunuldu.

Zincirde dizin geçişi adımını oluşturan CVE-2026-45495 zafiyeti, Microsoft kayıtlarında 8,8 CVSS 3.1 taban puanı ve «Önemli» dereceyle tanımlandı. ZDI-26-331 başlığıyla yayımlanan bültende ise açığa 7,5 puan verildi. Microsoft kayıtlarına göre açık, düzeltme öncesinde kamuya açıklanmamıştı ve istismar edildiğine dair bilgi yok; ancak şirket istismar olasılığını «daha yüksek» (Exploitation More Likely) olarak değerlendirdi. Aynı sürümde kapatılan CVE-2026-45492 güvenlik özelliği atlatma ve CVE-2026-45494 sahtecilik zafiyetleri ise 5,4 taban puanı ile «Orta» derece aldı. Üç açık da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) istismar edildiği bilinen açıklar kataloğunda (KEV) yer almıyor.

Neden önemli

Zincirin dikkat çeken yanı, tarayıcıyı ele geçirmek için tek bir bellek bozulması hatasına ihtiyaç duymaması. Orange Tsai, iki ay süren çalışmada yapay zekâ ya da büyük dil modellerinden yararlanmadığını söylüyor. Araştırmacıya göre çalışma bu yıl HITCON ve Hexacon'da anlatıldı ve Pwnie Awards'da «Epic Achievement» ödülünü aldı. Tsai, zinciri Google Chrome'a taşımaya «çok yaklaştığını» ve gelişmeleri CODE BLUE konferansında göstereceğini belirtiyor; Chrome'un etkilendiğine dair bir bilgi yok.

Türkiye açısından

Türkiye'ye özgü bir etki ya da kurban bildirilmedi. T.C. Siber Güvenlik Başkanlığı (SGB), 20 Mayıs 2026 tarihinde yayımladığı TR-26-0274 kodlu bildirimle bu üç açığı listeleyip Microsoft kayıtlarına yönlendirmişti. Edge'deki önceki açıkları Microsoft Copilot ve Edge güvenlik zafiyetleri haberimizde de ele almıştık. Edge kullananların sürümün 148.0.3967.70 ya da daha yeni olduğunu doğrulaması, otomatik güncellemesi kapalı ya da sürümü merkezi olarak sabitlenmiş kurum bilgisayarlarına ayrıca bakması öneriliyor.

Kaynaklar

Kapak görseli (temsili): Windows 11 açılan Microsoft Surface Laptop 7; Edge'i ya da haberdeki istismarı göstermez — StrangeApparition2011 / Wikimedia Commons, CC0 (kırpıldı, 1200×675 küçültüldü).