Microsoft Edge ukládá vaše hesla v čitelné podobě přímo do paměti. Kdokoliv je může vytáhnout za pár kliknutí

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Prohlížeč Microsoft Edge po každém spuštění dešifroval všechna uložená hesla a nechal je ležet v operační paměti jako čitelný text.

Muž s tabletem, internetový prohlížeč

Zdroj: Pexels

Doba čtení 4 min

Článek byl publikován 05.09.2026 07:12

Obsah článku

Nejde o to, že by Edge ukládal hesla nešifrovaně na disk, tam zůstávala chráněná. Problém byl jinde: jakmile uživatel prohlížeč spustil, Edge vzal celý trezor hesel, dešifroval ho a nahrál do paměti procesu msedge.exe. Všechna hesla. Najednou. Bez ohledu na to, jestli se uživatel k některému webu vůbec přihlašoval. A v téhle podobě, jako čitelné textové řetězce, tam hesla zůstávala po celou dobu běhu prohlížeče. „Kdokoliv“ v tomto případě neznamená náhodného útočníka z internetu, ale kohokoliv s lokálním přístupem ke spuštěné relaci: malware běžící pod vaším účtem, kolegu u sdíleného firemního počítače nebo jakýkoliv proces se stejnými uživatelskými právy. Bez administrátorských oprávnění. Bez speciálních nástrojů.

Tři kliknutí a máte hesla

Bezpečnostní analytici ze SANS Institute celý postup veřejně předvedli 4. května 2026. Vypadal takto: otevřít Edge, ve Správci úloh rozbalit jeho procesy, na položce „browser“ zvolit „Vytvořit výpis paměti“ a nad výsledným souborem spustit příkaz strings. V tu chvíli se v textovém výstupu objevily adresy webů, přihlašovací jména a k nim odpovídající hesla. Čitelně. Bez jakéhokoliv dalšího prolomení.

Ještě přímočařejší cestu nabídl norský bezpečnostní výzkumník Tom Jøran Sønstebyseter Rønning, který problém poprvé veřejně představil 29. dubna 2026 na konferenci BIG Bite of Tech v Oslu. Následně publikoval na GitHubu nástroj EdgeSavedPasswordsDumper, který procesovou paměť Edge přečetl automatizovaně. Bez administrátorských práv šlo číst procesy stejného přihlášeného uživatele. S administrátorskými právy i procesy jiných uživatelů na témže stroji, což je scénář typický pro sdílené firemní terminály, VDI nebo RDS prostředí.

Proč to Microsoft šest let neopravil

Podle autora PoC se chování týkalo Edge od verze 79, tedy potenciálně od ledna 2020, až do května 2026. Šest let. Microsoft přitom o principu věděl a původně ho označoval za součást očekávaného bezpečnostního modelu. Logika zněla: pokud je zařízení kompromitované, útočník už je za hranicí toho, co prohlížeč může chránit. Heslo se v paměti dříve nebo později objeví tak jako tak.

Jenže je zásadní rozdíl mezi tím, když prohlížeč dešifruje jedno heslo v okamžiku, kdy ho uživatel potřebuje, a tím, když při startu vysype celý trezor do paměti naráz. Právě to Rønning zdůraznil: Edge byl podle jeho testů jediný z prohlížečů založených na Chromiu, který prováděl takzvaný eager-loading celého vaultu. Chrome dešifruje hesla až v okamžiku použití a navíc na Windows přidal technologii App-Bound Encryption, která svazuje dešifrování s konkrétním procesem prohlížeče.

Po veřejném tlaku Microsoft změnil postoj. 14. května 2026 firma na svém blogu Browser Vulnerability Research oznámila, že Edge přestane hesla do paměti přednačítat při startu. O den později vyšel stabilní build 148.0.3967.70 s touto úpravou.

Jak zjistit, jestli jste v bezpečí

Ověření trvá pár sekund. V Edge klikněte na tři tečky vpravo nahoře, zvolte Nápověda a zpětná vazba → O aplikaci Microsoft Edge, případně zadejte do adresního řádku edge://settings/help. Zobrazí se přesné číslo verze a prohlížeč zároveň zkontroluje dostupné aktualizace.

Klíčové je číslo verze:

148.0.3967.70 a novější – oprava je aplikovaná, hesla se při startu do paměti nenačítají.
Starší verze – prohlížeč je potenciálně zranitelný. Aktualizujte okamžitě.

Pokud je Edge spravovaný firemním IT oddělením, aktualizaci musí nasadit správce. A pozor na jeden detail: firemní politika PasswordManagerEnabled sice dokáže zakázat ukládání nových hesel, ale dříve uložená hesla mohou uživatelé nadále používat. Samotné vypnutí správce hesel tedy neznamená automatické vymazání starých dat.

Co dělat, pokud jste měli hesla uložená ve starší verzi

Pro domácí počítač s jedním uživatelem a bez známek kompromitace Microsoft tvrdí, že po aktualizaci není nutná další akce. Podle nás je ale rozumné rozlišovat podle rizika:

Nízké riziko (soukromý počítač, aktuální systém, žádné podezření na malware): aktualizujte Edge a zvažte zapnutí dvoufaktorového ověření u důležitých účtů.
Střední riziko (starší build, sdílený domácí počítač): aktualizujte, změňte hesla k e-mailu, bankovnictví a účtu Microsoft, odhlaste aktivní relace.
Vysoké riziko (firemní terminál, sdílený administrátorský účet, podezření na malware, starší build): aktualizujte, změňte všechna hesla, zapněte MFA všude, kde to jde, a zvažte přesun do dedikovaného správce hesel.

Právě dedikovaní správci hesel, jako jsou Bitwarden, 1Password a podobné nástroje, stojí za zmínku. Bitwarden drží šifrovací klíč v paměti jen po dobu odemčení vaultu a po zamčení se ho snaží vymazat. 1Password staví na dvouklíčovém modelu s Account Password a Secret Key. Oproti prohlížečovému správci, který žije a umírá se spuštěným prohlížečem, mají tyto nástroje samostatný model odemykání. Pro citlivé účty a firemní prostředí to podle nás dává výrazně větší smysl.

Edge po aktualizaci není důvod opouštět, ale důvod přestat mu svěřovat hesla k nejcitlivějším účtům tu rozhodně je.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Vojtěch Kalivoda

Reklama

Další články z Mobify.cz

Podvodníci ho okradli přes WhatsApp o úspory pro vnučky. Pak to na něj zkusili znovu s falešnou pomocí

Starý telefon nevyhazujte, stačí vyměnit jednu součástku. Vyjde to na zlomek ceny nového a bude fungovat jako dříve

Výměna baterie v autorizovaném servisu vyjde u iPhonu na 1 690 až 2 790 Kč, nový iPhone 16 přitom startuje...

Čína otevřela v Gobi obří hybridní elektrárnu. Vyrábí i v noci a nepotřebuje k tomu žádné baterie – stačí jí roztavená sůl

Uprostřed pouště Gobi začala vyrábět elektřinu největší provozovaná hybridní solární elektrárna na světě, a...

Google omylem odhalil Android 18 v programu konference. Nový systém slibuje grafické efekty, které zatím nebyly možné

V programu Android Dev Summitu 2026 se objevila přednáška výslovně zmiňující Android 18 a nové grafické...

Platíte telefonem přes NFC a máte na zamčené obrazovce peněženku? Stačí přiložení k terminálu a někdo zaplatí za vás

Ikona Google Wallet na zamčené obrazovce vypadá nevinně. Jenže v kombinaci s NFC a nejednotným chováním...

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Microsoft Edge ukládá vaše hesla v čitelné podobě přímo do paměti. Kdokoliv je může vytáhnout za pár kliknutí

Morová panika na Sibiři hýbe Ruskem. Hrozivá nemoc znervóznila i Trumpa

„Chtěl jsem to napálit do budovy letiště.“ Kopilot popsal šílený plán, trest se rýsuje

Čtyři minuty versus čtrnáct. Nahrávka v případu Adama Krause budí další otázky

Na severní pól chtěli doletět balonem. Po třech dnech začal boj o přežití, jehož konec zůstává záhadou

„Když to bude v Řecku, beru cokoliv.“ Češi si pořídili dům za cenu pražské garáže