Microsoft Edge ukládá vaše hesla v čitelné podobě přímo do paměti. Kdokoliv je může vytáhnout za pár kliknutí

Prohlížeč Microsoft Edge po každém spuštění dešifroval všechna uložená hesla a nechal je ležet v operační paměti jako čitelný text.

Zdroj fotografie: Pexels

Nejde o to, že by Edge ukládal hesla nešifrovaně na disk, tam zůstávala chráněná. Problém byl jinde: jakmile uživatel prohlížeč spustil, Edge vzal celý trezor hesel, dešifroval ho a nahrál do paměti procesu msedge.exe. Všechna hesla. Najednou. Bez ohledu na to, jestli se uživatel k některému webu vůbec přihlašoval. A v téhle podobě, jako čitelné textové řetězce, tam hesla zůstávala po celou dobu běhu prohlížeče. „Kdokoliv“ v tomto případě neznamená náhodného útočníka z internetu, ale kohokoliv s lokálním přístupem ke spuštěné relaci: malware běžící pod vaším účtem, kolegu u sdíleného firemního počítače nebo jakýkoliv proces se stejnými uživatelskými právy. Bez administrátorských oprávnění. Bez speciálních nástrojů.

Tři kliknutí a máte hesla

Bezpečnostní analytici ze SANS Institute celý postup veřejně předvedli 4. května 2026. Vypadal takto: otevřít Edge, ve Správci úloh rozbalit jeho procesy, na položce „browser“ zvolit „Vytvořit výpis paměti“ a nad výsledným souborem spustit příkaz strings. V tu chvíli se v textovém výstupu objevily adresy webů, přihlašovací jména a k nim odpovídající hesla. Čitelně. Bez jakéhokoliv dalšího prolomení.

Ještě přímočařejší cestu nabídl norský bezpečnostní výzkumník Tom Jøran Sønstebyseter Rønning, který problém poprvé veřejně představil 29. dubna 2026 na konferenci BIG Bite of Tech v Oslu. Následně publikoval na GitHubu nástroj EdgeSavedPasswordsDumper, který procesovou paměť Edge přečetl automatizovaně. Bez administrátorských práv šlo číst procesy stejného přihlášeného uživatele. S administrátorskými právy i procesy jiných uživatelů na témže stroji, což je scénář typický pro sdílené firemní terminály, VDI nebo RDS prostředí.

Proč to Microsoft šest let neopravil

Podle autora PoC se chování týkalo Edge od verze 79, tedy potenciálně od ledna 2020, až do května 2026. Šest let. Microsoft přitom o principu věděl a původně ho označoval za součást očekávaného bezpečnostního modelu. Logika zněla: pokud je zařízení kompromitované, útočník už je za hranicí toho, co prohlížeč může chránit. Heslo se v paměti dříve nebo později objeví tak jako tak.

Jenže je zásadní rozdíl mezi tím, když prohlížeč dešifruje jedno heslo v okamžiku, kdy ho uživatel potřebuje, a tím, když při startu vysype celý trezor do paměti naráz. Právě to Rønning zdůraznil: Edge byl podle jeho testů jediný z prohlížečů založených na Chromiu, který prováděl takzvaný eager-loading celého vaultu. Chrome dešifruje hesla až v okamžiku použití a navíc na Windows přidal technologii App-Bound Encryption, která svazuje dešifrování s konkrétním procesem prohlížeče.

Po veřejném tlaku Microsoft změnil postoj. 14. května 2026 firma na svém blogu Browser Vulnerability Research oznámila, že Edge přestane hesla do paměti přednačítat při startu. O den později vyšel stabilní build 148.0.3967.70 s touto úpravou.

Jak zjistit, jestli jste v bezpečí

Ověření trvá pár sekund. V Edge klikněte na tři tečky vpravo nahoře, zvolte Nápověda a zpětná vazba → O aplikaci Microsoft Edge, případně zadejte do adresního řádku edge://settings/help. Zobrazí se přesné číslo verze a prohlížeč zároveň zkontroluje dostupné aktualizace.

Klíčové je číslo verze:

• 148.0.3967.70 a novější – oprava je aplikovaná, hesla se při startu do paměti nenačítají.
• Starší verze – prohlížeč je potenciálně zranitelný. Aktualizujte okamžitě.

Pokud je Edge spravovaný firemním IT oddělením, aktualizaci musí nasadit správce. A pozor na jeden detail: firemní politika PasswordManagerEnabled sice dokáže zakázat ukládání nových hesel, ale dříve uložená hesla mohou uživatelé nadále používat. Samotné vypnutí správce hesel tedy neznamená automatické vymazání starých dat.

Co dělat, pokud jste měli hesla uložená ve starší verzi

Pro domácí počítač s jedním uživatelem a bez známek kompromitace Microsoft tvrdí, že po aktualizaci není nutná další akce. Podle nás je ale rozumné rozlišovat podle rizika:

• Nízké riziko (soukromý počítač, aktuální systém, žádné podezření na malware): aktualizujte Edge a zvažte zapnutí dvoufaktorového ověření u důležitých účtů.
• Střední riziko (starší build, sdílený domácí počítač): aktualizujte, změňte hesla k e-mailu, bankovnictví a účtu Microsoft, odhlaste aktivní relace.
• Vysoké riziko (firemní terminál, sdílený administrátorský účet, podezření na malware, starší build): aktualizujte, změňte všechna hesla, zapněte MFA všude, kde to jde, a zvažte přesun do dedikovaného správce hesel.

Právě dedikovaní správci hesel, jako jsou Bitwarden, 1Password a podobné nástroje, stojí za zmínku. Bitwarden drží šifrovací klíč v paměti jen po dobu odemčení vaultu a po zamčení se ho snaží vymazat. 1Password staví na dvouklíčovém modelu s Account Password a Secret Key. Oproti prohlížečovému správci, který žije a umírá se spuštěným prohlížečem, mají tyto nástroje samostatný model odemykání. Pro citlivé účty a firemní prostředí to podle nás dává výrazně větší smysl.

Edge po aktualizaci není důvod opouštět, ale důvod přestat mu svěřovat hesla k nejcitlivějším účtům tu rozhodně je.