Il browser Edge di Microsoft gestisce in chiaro le password salvate in memoria. Lo riferisce Tom Jøran Sønstebyseter Rønning, ricercatore norvegese specializzato in sicurezza, spiegando che tale vulnerabilità è presente nella versione 147.0.3912.98 di Edge e Microsoft non intende correggere il problema, affermando che si tratta di un comportamento intenzionale.
Il sito Heise.de ha confermato l’esistenza della vulnerabilità con un piccolo test. Ha registrato una nuova password nel gestore integrato, la cui memoria dovrebbe essere accessibile solo dopo lo sblocco del password manager. Un redattore del sito ha quindi riavviato il browser, scandagliato la memoria del processo Edge tramite il Task Manager di Windows, evidenziando come una semplice ricerca permetta di individuare in chiaro la password registrata in precedenza.
Tom Jøran Sønstebyseter Rønning ha creato un proof-of-concept chiamato “EdgeSavedPasswordsDumper”, un tool che accede alla memoria del processo Edge e permette di leggere username e password in formato testo. Il ricercatore evidenzia che il processo mantiene costantemente le credenziali decifrate nella memoria: un bersaglio potenziale per l’estrazione se un cybercriminale riesce a ottenere privilegi di sistema sufficienti, uno scenario non improbabile con sistemi condivisi o sfruttati da più utenti come accade in alcuni ambiti aziendali e postazioni pubbliche.
The PoC for the "Dump Edge Cleartext Credentials" was made available yesterday, and I posted a link in the thread, but for anyone that might have missed it – here is the (updated) link:https://t.co/08wyf7MXlm#poc #cleartext #edge #microsoft #password #credential #bydesign https://t.co/7KTcdy2Avo
— Tom Jøran Sønstebyseter Rønning (@L1v1ng0ffTh3L4N) May 5, 2026
Il ricercatore spiega ancora che il problema riguarda specificatamente Edge e non altri browser basati su “Chromium”. Test con Google Chrome e Brave non mostrano lo stesso inconveniente: questi ultimi decifrano le credenziali quando necessario anziché di conservarle in modo persistente nella memoria; Edge, invece, le carica all’avvio e non le lascia in memoria.
Prima di rendere noto quanto scoperto, il ricercatore ha informato Microsoft ma quest’ultima ha risposto che si tratterebbe di un comportamento “by design” (espressamente concepito in questo modo), senza indicare il perché e o suggerire consigli agli utenti. Una risposta sorprendente per un prodotto che a questo punto scoraggia fortemente l’uso del gestore di password integrato.
La risposta di Microsoft
“La sicurezza è fondamentale per Microsoft Edge”, riferisce la Casa di Redmond. “L’accesso ai dati del browser, come descritto nello scenario segnalato, presuppone che il dispositivo sia già compromesso. Le scelte di progettazione in questo ambito implicano un equilibrio tra prestazioni, usabilità e sicurezza, e continuiamo a monitorarle costantemente in base all’evoluzione delle minacce. I browser leggono i dati delle password in memoria per consentire agli utenti di effettuare l’accesso in modo rapido e sicuro: si tratta di una funzionalità prevista dell’applicazione. Consigliamo agli utenti di installare gli aggiornamenti di sicurezza più recenti e un software antivirus per proteggersi dalle minacce informatiche”.
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di macitynet.
