Microsoft меняет решение: Edge больше не хранит пароли в открытом виде в ОЗУ

Обновлено 18 мая 2026 г.: Хотя Microsoft изначально заявляла, что хранение паролей в открытом виде было «намеренным проектным решением», компания теперь изменила свою позицию. Начиная с версии Edge 148, браузер больше не будет загружать все пароли в незашифрованном виде.

Первоначальная новость от 5 мая 2026 г.: Пользователям, которые сохраняют пароли в браузере, следует проявить повышенную осторожность. Норвежский исследователь безопасности обнаружил серьезную уязвимость в Microsoft Edge, при которой пароли хранятся в памяти в открытом виде, что было продемонстрировано в сообщении в социальных сетях.

Любой злоумышленник, получивший локальный доступ к компьютеру, мог легко перехватить все сохраненные пароли, даже те, которые не использовались в текущем сеансе. Атакующие могли просто извлечь и скопировать их в открытом виде. В видео Том Йёран Сёнстебюсетер Рённинг демонстрирует это в действии:

Microsoft Edge загружает все сохраненные пароли в память в открытом виде — даже когда вы их не используете. pic.twitter.com/ci0ZLEYBLB

— Tom Jøran Sønstebyseter Rønning (@L1v1ng0ffTh3L4N) Май 4, 2026

Серьезный недостаток в менеджере паролей Edge

Уязвимость затронула менеджер паролей Microsoft Edge. Обычно менеджеры паролей используют сквозное шифрование и хранят данные в облаке, обеспечивая доступ с любого устройства. При необходимости они расшифровывают пароли для использования, а затем удаляют их из памяти.

То, что Edge держал все пароли загруженными без какого-либо шифрования, было как необычно, так и опасно. Другие менеджеры паролей, включая встроенные в браузеры, так не работают. Рённинг отметил, что Edge был единственным браузером на базе Chromium, который он тестировал и который демонстрировал такое поведение.

Edge действительно требовал аутентификации для просмотра паролей в своем менеджере, но это имело мало смысла, если злоумышленники могли получить доступ, просто считав оперативную память, как это и происходило.

Это преднамеренное решение или ошибка?

Рённинг, по всей видимости, поделился своими выводами с Microsoft и получил неожиданный ответ. По данным некоторых источников, поведение менеджера паролей Edge было названо «намеренным проектным решением», а не ошибкой. Неясно, какую выгоду это решение предлагало пользователям.

Тем не менее, Рённинг решил предупредить пользователей об этом механизме и планирует опубликовать собственный инструмент на GitHub, с помощью которого любой желающий сможет проверить, хранятся ли его пароли Edge в открытом виде.

Если вы используете Edge и храните в браузере пароли, рекомендуется перейти на другой, по-настоящему безопасный менеджер паролей, а затем удалить все пароли из Edge.