Microsoft Edgeが保存済みパスワードを起動時に平文でメモリへ読み込む仕様を変更へ – GIGAZINE

Microsoft Edgeに保存したパスワードが、暗号化されておらずプログラムや人間がそのまま読める状態である「平文」のままブラウザ起動時にメモリへ読み込まれる挙動について、Microsoftが仕様を変更すると発表しました。今後のEdgeでは保存済みパスワードを起動時にメモリへ読み込まないようになります。

Saved passwords in Edge memory: what we’re changing and why | Microsoft Browser Vulnerability Research
https://microsoftedge.github.io/edgevr/posts/Saved-passwords-in-Edge-memory-what-were-changing-and-why/

問題視されていたのは、Edgeのパスワードマネージャーに保存されたパスワードが、実際にログインフォームへ自動入力される場面ではなくブラウザを起動した段階で復号されていた点です。パスワードは保存時には暗号化されていますが、自動入力などで使う瞬間には復号が必要になります。しかし、起動直後から復号済みパスワードがメモリ上に存在する場合、端末を侵害したマルウェアなどに読み取られる可能性が高まるとの指摘がありました。

Edgeに保存されたパスワードがブラウザ起動時に復号され、平文の状態でプロセスメモリ上に保持されるという挙動は以下の記事の通り問題視されていました。この挙動を発見したセキュリティ研究者のトム・ヨラン・ソンステビセター・ロニング氏は管理者権限を持つ攻撃者が別ユーザーのEdgeプロセスからパスワードを取り出せる概念実証ツールも公開しています。管理者権限がない場合でも、攻撃者と同じユーザー権限で起動されたEdgeプロセスであれば認証情報へアクセスできる可能性があるとのこと。

Micrsoft Edgeがパスワードをメモリ上に平文で保持しているという指摘 – GIGAZINE

Microsoftは当初、攻撃者がすでに端末を侵害している状況が前提であるため、報告された挙動は既存の脅威モデルの範囲内にあると説明していました。脅威モデルとは、どのような攻撃者や攻撃手法を防御対象に含めるかを定めた前提条件のことです。Microsoftはローカル端末をすでに制御している攻撃者や高い権限で動作するマルウェアによる攻撃については、Edgeのパスワードマネージャーだけで完全に防ぐ対象ではないとしていました。

一方でMicrosoftは2026年5月14日、起動時に保存済みパスワードを復号してメモリへ読み込む設計について多層防御の観点から改善する方針を示しました。多層防御とは、ひとつの防御策が破られても別の防御策で被害を抑える考え方です。Microsoftは、攻撃者が端末上でコードを実行できる状況でも、メモリ上に平文パスワードが存在する機会を減らすことには意味があると述べています。

変更はすでにEdge Canaryに導入されており、Stable、Beta、Dev、Canary、企業向けのExtended Stableを含むサポート対象のEdgeチャンネルに展開される予定です。Edgeのパスワードマネージャーを利用しているユーザー側で必要な操作はなく、通常のアップデートを通じて変更が反映されるとのこと。

Microsoftは「報告された挙動が直ちに新たな攻撃経路を生み出すものではない」と説明したうえで、「保存済みパスワードが平文のままメモリ上に存在する時間を減らすことは、Edgeの防御を強化する実用的な対応だ」と述べました。