Krytyczna luka w Microsoft Edge: hasła widoczne w pamięci RAM

Krytyczna luka w Microsoft Edge: hasła widoczne w pamięci RAM

PILNE: Badacze odkryli poważny problem w Microsoft Edge security: przeglądarka przechowuje hasła w pamięci RAM jako jawny tekst (plaintext passwords). To otwiera drzwi do kradzieży poświadczeń nawet bez zdalnego ataku. Czy Twoje dane są zagrożone? Przeczytaj, jak sprawdzić i zabezpieczyć się natychmiast.

Dlaczego to zagrożenie dotyczy każdego użytkownika Edge?

Wyobraź sobie scenariusz: haker uzyskuje dostęp do Twojego komputera – np. przez phishing lub zainfekowany plik. W zwykłych warunkach musiałby dekodować zaszyfrowane hasła z dysku. Ale w Microsoft Edge? Nie musi. Przeglądarka ładuje plaintext passwords Edge do pamięci RAM już przy starcie, nawet jeśli nie używasz tych kont.

Specjalista ds. cyberbezpieczeństwa Tom Jøran Sønstebyseter Rønning opublikował narzędzie EdgeSavedPasswordsDumper na GitHub, demonstrując, jak łatwo wyciągnąć nazwy użytkowników i hasła z procesu nadrzędnego Edge. Microsoft uznał to za „zgodne z projektem” (by design), co budzi kontrowersje w środowisku cybersecurity news.

To nie teoria. Problem potwierdzili inni badacze, jak Rob VandenBrink. Dotyczy firm z współdzielonymi maszynami, gdzie admin może zdumpować hasła wszystkich użytkowników. W erze rosnącego ransomware i ataków insiderowych, to luka bezpieczeństwa, która może kosztować miliony. Aktualna data: maj 2026 – czas działać!

Oryginalny materiał od @The Cyber Security Hub™ możesz zobaczyć poniżej:

Jak widać w powyższym materiale, problemy z bezpieczeństwem menedżerów haseł w przeglądarkach są tematem, który regularnie powraca w społeczności ekspertów. To potwierdza, że zagrożenie jest realne i aktualne.

Kto jest narażony i jak poważne to ryzyko?

KRYTYCZNE: Luka nie ma przypisanego numeru CVE, bo Microsoft nie klasyfikuje jej jako błędu. Dotyczy wszystkich wersji Edge opartych na Chromium (od ok. 2023 r.), ale nie Chrome czy Brave – te odszyfrowują hasła tylko na żądanie.

Dotknięte wersje i grupy ryzyka

• Microsoft Edge (wszystkie aktualne buildy, np. 135+)
• Użytkownicy domowi z menedżerem haseł włączonym
• Firmy: współdzielone PC, konta admin – wysoki risk
• Nie dotyczy: Chrome, Firefox, Brave (testy Rønninga)

Atak wymaga lokalnego dostępu z uprawnieniami (np. admin). Ale w scenariuszach post-exploitation – np. po drive-by download – dump pamięci (tools jak Mimikatz lub Volatility) ujawni hasła do banku, emaila czy firmowych kont.

Wektory ataku i IOCs

• Attack vector: Lokalny privilege escalation → memory dump → extract plaintext
• IOCs: Proces msedge.exe z widocznymi stringami haseł w RAM (sprawdź Volatility lub Process Hacker)
• Brak zdalnego exploita, ale idealne do persistence w sieciach korporacyjnych

Jak Edge zarządza hasłami?

Mechanizm luki w bezpieczeństwo przeglądarek

Edge zapisuje hasła zaszyfrowane na dysku (zabezpieczone Windows DPAPI). Ale przy uruchomieniu ładuje je do RAM procesu nadrzędnego jako plaintext passwords Edge. Nawet po restarcie sesji – hasła wiszą w pamięci, choć UI żąda ponownego uwierzytelnienia.

„Przeglądarka wciąż może wymagać ponownego logowania, mimo że hasła znajdują się już w niezaszyfrowanej formie w RAM.” – Tom Jøran Sønstebyseter Rønning, GitHub PoC

Wskazówka: Użyj EdgeSavedPasswordsDumper (tylko do testów!): skanuje pamięć msedge.exe i wyciąga dane. Pobierz z GitHub – edukacyjnie, nie do ataków.

Porównanie z innymi przeglądarkami

Przeglądarka	Hasła w RAM?	Odszyfrowanie
Edge	Tak, stale	Przy starcie
Chrome	Nie	Na żądanie
Brave	Nie	Na żądanie
Firefox	Nie (NSS)	Zabezpieczone

Reakcja Microsoftu i zmiany w 2026

Microsoft: „By design”. Ale od marca 2026 wycofują Niestandardowe Hasło Podstawowe (CPP), zastępując uwierzytelnianiem device-based (Windows Hello, Touch ID). Po 4 czerwca 2026 – automatycznie włączone.

Ciekawostka: To nie rozwiązuje dumpu RAM – biometryczne blokuje UI, nie pamięć.

Jak się chronić: Natychmiastowe kroki obrony

Sprawdź natychmiast, czy jesteś zagrożony

1. Otwórz Task Manager → Processes → msedge.exe
2. Użyj Process Explorer (Sysinternals) – szukaj stringów haseł w pamięci
3. Przetestuj PoC (bezpiecznie, na VM)

Kluczowe kroki zabezpieczenia

• PILNE:
  Wyłącz zapisywanie haseł w Edge: Ustawienia → Hasła → Wyłącz „Zapisz hasła”
• Włącz device auth: Ustawienia → Hasła → „Monituj o uwierzytelnianie urządzenia”
• Użyj zewnętrznego menedżera: Bitwarden, 1Password (zero-knowledge, nie w RAM)
• Politki GPO dla firm: Zabroń autfill, wymuś MFA
• Update Edge do najnowszej wersji (nie fixuje RAM, ale inne patche)
• Uwaga: Unikaj współdzielonych PC; włącz Credential Guard (Windows 10/11 Enterprise)

Jak przełączyć na device auth (krok po kroku):

1. edge://settings/passwords
2. Więcej ustawień → Monituj o logowanie urządzenia
3. Potwierdź Windows Hello/biometrią

Kluczowe wnioski i co dalej dla bezpieczeństwo przeglądarek

To przypomnienie: menedżer haseł w przeglądarce ≠ pełna ochrona. Hasła w pamięci RAM w Edge to ryzyko dla firm i użytkowników. Przejdź na dedykowane password managery z end-to-end encryption.

Akcja teraz:

• Sprawdź swoje hasła – zmień krytyczne (bank, email)
• Testuj inne przeglądarki (Chrome/Brave)
• W firmach: Audit pamięci, szkolenia anti-phishing

Bezpieczeństwo to proces – zacznij dziś. Jeśli używasz Edge, działaj teraz.