Niedawno Microsoftuwydał ostrzeżeniew związku z kwestią bezpieczeństwa dotyczącą przeglądarki internetowej Microsoft Edge. Ta nowa luka może umożliwić hakerom przejęcie kontroli nad komputerem osobistym i uruchomienie na nim złośliwego oprogramowania lub aplikacji.
Konkretna luka, o której mówimy, ma związek z wersją Microsoft Edge opartą na Chromium. Firma oceniła problem jako „wysoki”.
Eksperci ds. bezpieczeństwa wyśledzili lukę jakoCVE-2026-57992a także uzyskał 7,5 na 10 punktów w systemie oceny dotkliwości. Wskazuje, że podatność wymaga natychmiastowej reakcji.
Problem ten można opisać jako uszkodzenie pamięci zwane luką „use-after-free”. Oznacza to, że oprogramowanie nadal wykorzystuje przydzieloną pamięć nawet po jej zwolnieniu.
Analogię można zastosować do sytuacji, w której kontynuujesz wynajem pojazdu nawet po jego zwróceniu na miejsce parkingowe. Pojazd nie należy już do Ciebie, ale nadal nim jeździsz.
W rezultacie następuje zamieszanie i może to prowadzić do awarii oprogramowania. W rozpatrywanym przypadku osoba atakująca może wykorzystać takie zamieszanie, aby zmusić przeglądarkę do wykonania własnego kodu.
Jak napastnicy mogą wykorzystać tę lukę
Nie jest to prosty atak, który następuje samoistnie. Atakujący nie mogą po prostu zwabić Cię na podejrzaną witrynę internetową i oczekiwać sukcesu. Muszą coś zrobić, żeby to zadziałało.
Najpierw przekonają Cię do odwiedzenia kontrolowanej przez nich witryny, na przykład wysyłając wiadomość e-mail typu phishing, za pośrednictwem wiadomości prywatnej w mediach społecznościowych lub nawet poprzez złośliwy link, który umieścisz na zhakowanej witrynie.
Gdy znajdziesz się na tej stronie, wtedy zaczyna się cała sztuczka. Musisz wykonać pewne czynności, które aktywują funkcję autouzupełniania Edge'a.
Luki w przeglądarkach nie ograniczają się do Edge'a;Mozilla niedawno załatała lukę w Firefoksie AIktóre mogłyby ujawnić kody weryfikacyjne poczty elektronicznej. Według doniesień atak wymaga wykonania dwóch dotknięć lub kliknięć. To sprawia, że atak jest znacznie trudniejszy do przeprowadzenia.
Ze względu na te dodatkowe kroki Microsoft ocenił to jako „dużą złożoność ataku”. Dlatego atakujący nie mogą łatwo wykorzystać tej luki. Jest to bardziej złożone niż zwykły atak typu „drive-by”, który infekuje system poprzez zwykłe załadowanie strony internetowej.
Co się stanie, jeśli atak zadziała
Zakładając, że atakującym się powiedzie, będą mogli wykonać kod w przeglądarce Edge. Jednak uzyskanie tej możliwości nie zapewni im pełnej kontroli nad Twoim urządzeniem. To tylko stawia ich w dobrej pozycji do przeprowadzenia przyszłych ataków.
Zatem wada przeglądarki jest raczej podstawą głównego ataku. Łączą je z innymi słabościami, aby uciec przed murami bezpieczeństwa przeglądarki. Po wybuchu mogą sięgnąć głębiej do twojego systemu.
Stamtąd mogą ukraść Twoje dane osobowe. Mogą zainstalować bardziej szkodliwe oprogramowanie. Mogą również rozprzestrzeniać się poprzez sieć korporacyjną. Właśnie dlatego nawet luki, które wydają się ograniczone, są nadal potencjalnie niebezpieczne.
Według Microsoftu nie ma dowodów na aktywne wykorzystanie luki, co stanowi ulgę. Ale to nie znaczy, że należy to ignorować.
Wersje Edge podatne na atak i aktualny stan
Każda przeglądarka Edge starsza niż wersja 150.0.4078.48 jest zagrożona, a jeśli jej używasz, zaktualizuj ją jak najszybciej.
Firma Microsoft zamieściła informację o luce 3 lipca. Eksperci ds. bezpieczeństwa nie tracili czasu na dodawanie danych do Krajowej bazy danych o lukach, w której rejestrowane są wszystkie zagrożenia bezpieczeństwa.
Na razie nikt nie opublikował jeszcze żadnego kodu sprawdzającego koncepcję. Brak jest również raportów o jakichkolwiek aktywnych atakach. Według CISA, amerykańskiej agencji ds. cyberbezpieczeństwa, wykorzystanie obecnie „nie występuje”.
Te rzeczy mogą się szybko zmienić. Atakujący często czekają, zanim użyją nowej luki. Być może badają to, aby stworzyć exploit.
Co powinieneś teraz zrobić
Chociaż hakerzy nie wykorzystują jeszcze tej luki, wszyscy nadal muszą zachować czujność. Luki w przeglądarkach to jeden z najczęstszych sposobów dostania się atakujących do systemów użytkowników.
Jaki jest zatem plan gry? Zainstaluj najnowszą wersję przeglądarki Microsoft Edge. Został już załatany od wersji 150.0.4078.48 i nowszych. Zespoły ds. bezpieczeństwa powinny wdrożyć to w całej organizacji.
Powinieneś także zapoznać się z poradami bezpieczeństwa firmy Microsoft w celu uzyskania aktualizacji. W razie potrzeby udzielą dodatkowych wskazówek.
Na razie można rozważyć podjęcie innych środków. Ogranicz korzystanie z funkcji automatycznego uzupełniania przeglądarki. Są bardzo wygodne, ale jednocześnie niezwykle niebezpieczne.
Możesz aktywować „Ulepszony tryb zabezpieczeń” w Edge. Dodaje to kolejną warstwę ochrony przed atakami. Może pomóc w blokowaniu exploitów, nawet jeśli odwiedzisz złośliwą witrynę.
Przypomnij także każdemu członkowi zespołu i członkom rodziny, aby zachowali ostrożność w Internecie. Nigdy nie klikaj linków w przypadkowych e-mailach lub wiadomościach. Uważaj na załączniki w wiadomościach e-mail od nieznanych nadawców. Świadomość bezpieczeństwa jest tak samo ważna jak aktualizacja oprogramowania.
Ten problem pokazuje, że nawet duże przeglądarki mogą mieć słabe punkty. Aktualizowanie informacji i zachowanie ostrożności to najlepsze sposoby na ochronę siebie. Zachowanie odrobiny ostrożności może bardzo pomóc w zapewnieniu bezpieczeństwa informacji.