Microsoft Edge טוענת סיסמאות לזיכרון בטקסט גלוי, ו-Microsoft הבטיחה לשנות זאת
ב-4 במאי 2026 פרסם חוקר ש-Edge מפענחת בהפעלה את כל הסיסמאות השמורות ומחזיקה אותן בזיכרון בטקסט גלוי. Microsoft אמרה שזה מכוון, וב-14 במאי הודיעה שתשנה זאת.
TL;DR בקצרה
- לפי החוקר Tom Jøran Sønstebyseter Rønning, Edge מפענחת בהפעלה כל סיסמה שמורה, גם לאתרים שלא ביקרתם בהם.
- הוא בדק כמה דפדפני Chromium, ו-Edge הייתה היחידה שפעלה כך. Chrome מפענחת סיסמה רק כשצריך.
- Microsoft אמרה שההתנהגות מכוונת ושהתרחיש דורש מכשיר שכבר נפרץ.
- ב-14 במאי הודיעה Microsoft ש-Edge תפסיק לטעון סיסמאות לזיכרון בהפעלה, החל מגרסה 148.
ב-4 במאי 2026 פרסם חוקר שהדפדפן Microsoft Edge טוען לזיכרון את כל הסיסמאות השמורות, בטקסט גלוי. הסיסמאות נטענות מיד עם ההפעלה. לדבריו, זה כולל גם סיסמאות של אתרים שלא ביקרתם בהם. Microsoft אמרה תחילה שההתנהגות מכוונת. ב-14 במאי היא הודיעה שתשנה אותה.
מה גילה החוקר ב-Microsoft Edge
בדיסק, דפדפנים שומרים סיסמאות בהצפנה. השאלה היא מה קורה בזיכרון אחרי שהדפדפן נפתח. Tom Jøran Sønstebyseter Rønning הראה ש-Edge מפענחת בהפעלה כל סיסמה שמורה. היא מחזיקה אותה בזיכרון התהליך, בלי הצפנה.
הוא בדק כמה דפדפני Chromium, ו-Edge הייתה היחידה שפעלה כך. לדבריו, Chrome מפענחת סיסמה רק כשצריך אותה. לכן קשה לשלוף אותה מהזיכרון.
החוקר פרסם גם כלי הדגמה. לפי BleepingComputer, עם הרשאות מנהל הכלי מוציא סיסמאות מתהליכי Edge של משתמשים אחרים באותו מחשב. בלי הרשאות מנהל הוא מגיע רק לתהליכים של אותו משתמש. החשש המרכזי שלו הוא מנהל בשרת טרמינלים. מנהל כזה יכול לקרוא את הזיכרון של כל המשתמשים שנכנסו לשרת.
מה Microsoft אמרה על Microsoft Edge
לפי החוקר, Microsoft אמרה לו שזו התנהגות מכוונת, by design. בתגובה ל-Windows Central, כפי שמצוטט ב-Thurrott, היא כתבה שהתרחיש דורש מכשיר שהתוקף כבר שולט בו. היא הוסיפה שדפדפנים ניגשים לסיסמאות בזיכרון כדי לאפשר כניסה מהירה ובטוחה. Microsoft המליצה להתקין עדכוני אבטחה ואנטי-וירוס. Malwarebytes מעריכה שהסיבה היא מהירות כניסה ומילוי אוטומטי. זו הערכה שלה, ולא הסבר של Microsoft.
Malwarebytes מוסיפה הקשר במאמר מ-8 במאי. לדבריה, Chrome ודפדפני Chromium אחרים מפענחים סיסמה רק כשצריך, למשל במילוי אוטומטי. הם גם מגנים על המפתחות בהצפנה הצמודה לאפליקציה. לפי ההערכה שלה, Edge היא החלשה בין מנהלי הסיסמאות המובנים בדפדפנים הגדולים.
הסיכון תלוי במצב המחשב. מי שיכול לקרוא זיכרון של תהליך בדרך כלל כבר שולט במחשב או מריץ בו נוזקה. ההבדל הוא עד כמה קל לו לקחת את כל הסיסמאות בבת אחת. זה כולל גם סיסמאות שלא השתמשתם בהן.
מה קרה מאז: ב-14 במאי פרסם גארת אוונס, ראש האבטחה של Edge, פוסט על השינוי. בפוסט הוא הודיע ש-Edge תפסיק לטעון סיסמאות לזיכרון בהפעלה. Microsoft מגדירה זאת כשינוי של הגנה בשכבות, ולא כתיקון חולשה. התשובה הראשונה שלה התבססה על הנחיות החומרה המשותפות של פרויקט Chromium. היא מדגישה שהתרחיש חורג ממודל האיומים שלה, כי הוא מניח תוקף שכבר שולט במכשיר. השינוי פעיל ב-Canary, ויגיע בעדכון הבא לכל הגרסאות הנתמכות, מגרסה 148 ומעלה. הוא מגיע בערוץ העדכונים הרגיל, ומשתמשי הדפדפן לא צריכים לפעול. אוונס מבהיר שהמשתמשים אינם חשופים בעקבות הדיווח. עם זאת, Microsoft בוחנת מחדש איך היא מטפלת בדיווחים של חוקרים, בדגש על מהירות ובהירות.
מה זה אומר עבורכם
- עדכנו את Edge: בדקו ב-edge://settings/help שיש לכם את הגרסה העדכנית, כדי לקבל את השינוי כשיגיע.
- שקלו מנהל סיסמאות: העבירו סיסמאות חשובות למנהל סיסמאות ייעודי, והפסיקו לשמור אותן בדפדפן.
- הוסיפו אימות דו-שלבי: כך סיסמה גנובה לא תספיק לכניסה לאתרים חשובים.
- בשרתי טרמינלים: הגבילו הרשאות מנהל, ואל תשמרו כרטיסי אשראי ומידע רגיש בדפדפן.
- שוקלים לעבור למפתחות גישה? המדריך של CyberGuard ל-Passkeys.
מקורות והרחבה
- Microsoft Edge Loads All Saved Passwords in Plain Text Upon LaunchThurrott
- Saved passwords in Edge memory: what we're changing and whyMicrosoft Edge Security
- Microsoft Edge to stop loading cleartext passwords in memory on startupBleepingComputer
- Microsoft says Edge's plaintext password behavior is 'by design'Malwarebytes
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
