Badacz bezpieczeństwa ujawnił 29 kwietnia 2026 r., że Microsoft Edge po uruchomieniu odszyfrowuje każde zapisane hasło w pamięci procesowej i przechowuje je w postaci zwykłego tekstu przez całą sesję, niezależnie od aktywności użytkownika. Odkrycie to, zaprezentowane na konferencji BigBiteOfTech, budzi poważne obawy dotyczące obsługi poświadczeń we współdzielonych środowiskach Windows. Według Cyber Security News badacz, znany jako @L1v1ng0ffTh3L4N, przeprowadził systematyczną analizę głównych przeglądarek opartych na Chromium i ujawniła, że Edge była jedyną przeglądarką, która przy uruchomieniu przechowywała cały magazyn haseł w pamięci zwykłego tekstu.
Ujawnienie obejmowało publiczne narzędzie weryfikacyjne, umożliwiające użytkownikom sprawdzenie, czy ich przeglądarka Edge przechowuje dane uwierzytelniające w postaci zwykłego tekstu. 4 maja badacz Tom Joran Sonstebyseter Ronning zamieścił wideo prezentację odkryć, na które wkrótce potem pojawiło się 5900 odpowiedzi. Firma Microsoft odpowiedziała na ujawnienie, stwierdzając, że takie zachowanie jest „zamierzone”.
Obsługa haseł w Edge znacznie odbiega od praktyk Google Chrome. Cyber Security News podkreśliło, że Chrome stosuje odszyfrowywanie na żądanie, odblokowując dane uwierzytelniające tylko wtedy, gdy jest to konieczne, oraz wykorzystuje szyfrowanie związane z aplikacją, które wiąże klucze deszyfrujące z uwierzytelnionym procesem. Natomiast Edge ładuje wszystkie zapisane dane uwierzytelniające w postaci zwykłego tekstu od momentu uruchomienia, narażając je na potencjalne ataki polegające na ekstrakcji opartej na pamięci.
![Jak korzystać z niestandardowych elementów sterujących iPhone Back Tap? [iOS 14]](https://pl.techbriefly.com/wp-content/uploads/sites/7/2020/11/1605839638_Jak-korzystac-z-niestandardowych-elementow-sterujacych-iPhone-Back-Tap-iOS.jpeg)
Pomimo monitowania użytkowników o ponowne uwierzytelnienie przed ujawnieniem hasła, w pamięci dostępne są te same dane uwierzytelniające, co sprawia, że takie monity są nieskuteczne w przypadku ataków wykorzystujących pamięć. Angus Holliday, starszy specjalista ds. bezpieczeństwa, wyjaśnił, że szyfrowanie aplikacji firmy Microsoft chroni dane w spoczynku, ale nie chroni pamięci. Dokumentacja zasad firmy Microsoft, zaktualizowana 27 stycznia 2026 r., stwierdza, że wyłączenie szyfrowania związanego z aplikacją może umożliwić nieautoryzowanym aplikacjom dostęp do kluczy szyfrowania.
Luka ta jest szczególnie widoczna w środowiskach współdzielonych lub z wieloma użytkownikami. Osoba atakująca z uprawnieniami administracyjnymi może odczytać pamięć wszystkich procesów zalogowanych użytkowników, co może prowadzić do potencjalnego ujawnienia poświadczeń wielu użytkowników. Publiczny film przedstawiający koncepcję pokazał, że konto administratora pomyślnie wyodrębnia zapisane dane uwierzytelniające od innych użytkowników, uzyskując dostęp do pamięci procesu Edge.
Firma Microsoft przyznaje, że jej publiczna dokumentacja dotycząca menedżera haseł przeglądarki Edge uwzględnia lukę w zabezpieczeniach poświadczeń przechowywanych w pamięci, ale klasyfikuje takie ataki jako wykraczające poza model zagrożeń przeglądarki. Dokumentacja ostrzega, że lokalne ataki lub złośliwe oprogramowanie mogą uzyskać dostęp do odszyfrowanej pamięci przeglądarki, co budzi obawy związane z nieodłącznym ryzykiem związanym z projektem Edge, szczególnie dla organizacji, które standaryzują jego użycie.
Mike Pedrick, dyrektor ds. bezpieczeństwa informacji, zauważył, że niektóre organizacje uznają Edge za jedyną dozwoloną przeglądarkę, przedkładając standaryzację nad bezpieczeństwo. Cyber Security News poinformowało, że zespoły ds. bezpieczeństwa obsługujące środowiska Windows z Edge powinny rozważyć migrację do przeglądarek stosujących lepsze praktyki bezpieczeństwa, dopóki Microsoft nie zmodyfikuje tego problemu projektowego.
W światowym rynku przeglądarek Edge posiadał 7,018% udziału w pierwszym kwartale 2025 r., zajmując trzecie miejsce za Chrome i Safari. Jednak jej udział w rynku jest znacznie większy w środowiskach korporacyjnych, gdzie Edge jest często domyślną przeglądarką na zarządzanych urządzeniach z systemem Windows, co budzi obawy dotyczące przetwarzania danych, szczególnie w sektorach marketingu i reklamy.
