セキュリティ

Edge起動と同時に全パスワードが平文展開、それは仕様だ

Microsoft Edgeは起動した瞬間、保存されたすべてのパスワードを平文でメモリに展開している。一度も訪問していないサイトの認証情報まで含めて、だ。報告に対するMicrosoftの公式回答は、ひとこと「仕様です」だった。

情報の灯台

2026年5月6日 09:2600

起動した瞬間、すべてのパスワードが平文になる

ノルウェーのセキュリティ研究者Tom Jøran Sønstebyseter Rønning氏が、2026年5月4日にX上で公開したデモ動画が議論を呼んでいる。Microsoft Edgeでパスワードを保存している場合、ブラウザを起動した瞬間に、保存済みのすべての認証情報が復号されてプロセスメモリに常駐する。ユーザーが該当サイトを訪問していなくても、オートフィルが走っていなくても関係ない。

Rønning氏はノルウェーの送電系統運用会社Statnett SFで内部ペネトレーションテストを担当する人物だ。今回の発見は本人の業務外活動として行われたもので、4月29日にオスロで開催された「Big Bite of Tech 26」で先に開示されている。これはパロアルトネットワークス（Palo Alto Networks）ノルウェーが主催する技術カンファレンスだ。

Rønning氏は検証用のツール「EdgeSavedPasswordsDumper」をGitHubで公開した。これは管理者権限で動作するC#製のPoCツールで、Edgeの親プロセスメモリをスキャンして平文で保持されている認証情報を取り出して見せる。Rønning氏はAMSI（Microsoftのスクリプト走査機構）の影響を回避するため、あえて.NET Framework 3.5で実装したと説明している。教育目的を強調しており、ソースコードも公開されている。

Microsoft Edge loads all your saved passwords into memory in cleartext — even when you're not using them.（Microsoft Edgeは保存したすべてのパスワードを平文でメモリに読み込みます。使っていない時でも。）

Rønning氏のこの一文は、執筆時点で136万回以上閲覧されている。

なぜこれが問題なのか

「メモリを読めるなら、もうそのマシンは陥落している」という反論はもっともだ。実際、攻撃の前提として管理者権限が必要になる。個人の自宅PCであれば、管理者を奪われた時点でEdgeのパスワード問題は二次的な被害でしかない。

しかしターミナルサーバーや仮想デスクトップ環境では話が変わる。同じホストに複数のユーザーがログインしている構成では、一人の管理者権限の侵害が、そのホストにログインしている全員のEdge認証情報漏洩に直結する。Rønning氏のPoC動画では、管理者権限を持つ攻撃者が、同じサーバーにログイン中の別ユーザー2名の認証情報をメモリから抜き出してみせる。そのうち1名はセッションが切断された状態だったが、Edgeがバックグラウンドで動いている限り、パスワードは平文のまま居座り続ける。

If an attacker gains administrative access on a terminal server, they can access the memory of all logged-on user processes.（ターミナルサーバーで管理者権限を奪われれば、ログイン中の全ユーザーのプロセスメモリにアクセスできてしまう。）

これがEdgeの場合、メモリダンプを取って文字列を拾うだけで認証情報が手に入る。一方、同じChromiumベースであるGoogle ChromeやBraveでは、Rønning氏の検証では同じ動作は確認できなかった。

ChromeとEdgeで何が違うのか

Chromeは「使うときだけ復号する」設計になっている。オートフィルが必要なタイミング、あるいはユーザーが設定画面でパスワードを表示しようとしたタイミングで、その都度復号する。さらにApp-Bound Encryption（ABE）という機構によって、復号鍵がそのChromeプロセス自身に強く結びつけられている。別のプロセスから鍵を借りてきて使い回す、という攻撃が成立しにくい。

つまりChromeで攻撃者が同じことをしようとすると、デバッガをChromeプロセスに接続して復号処理を走らせる、といった追加の手間が必要になる。メモリダンプから文字列をgrepするだけ、というわけにはいかない。

Edgeは保存している認証情報のすべてを、起動と同時に裸で並べてしまう。違いはここだ。

ここで皮肉なのが、Edgeのパスワードマネージャーを開いて中身を表示しようとすると、PINやWindows資格情報の再認証が要求されるという点だ。UIは「あなた以外には見せません」という顔をしている。しかし舞台裏では、同じプロセスが既に全パスワードを平文で抱えている。再認証ダイアログは、ある意味で形式的な儀式になっている。

「仕様」というMicrosoftの回答

Rønning氏はこの挙動をMicrosoftに報告した。返ってきた回答は「by design」（設計通りである）というものだった。それ以上の説明はなかった、とRønning氏は述べている。

実は、似た指摘は2024年にも別の研究者からMicrosoftに報告されていた。そのときの回答は「慎重に調査した結果、本件は脆弱性とは評価されず、Microsoftの即時対応基準を満たさない」というものだった。今回も基本姿勢は変わっていない。

Microsoftの公開ドキュメントには、ブラウザのメモリ領域に読み込まれた認証情報がローカル攻撃で取得され得ることは記載されている。ただし同社はこのケースを「ブラウザの脅威モデル外」と位置づけており、防御責任はOSレベルのマルウェア対策（Microsoft Defenderなど）が担うべきだという立場をとっているように読める。

一度ローカルマルウェアに感染した端末は、もはやブラウザの責任範囲ではない。

脆弱性ではないと言い切るには、業界全体の常識からはやや離れた判断にも見える。共通脆弱性タイプの分類でいえば、今回の挙動はCWE-316「メモリ内の機密情報の平文保存」に正確に該当する。

ドイツ連邦情報セキュリティ庁（BSI）が2025年12月に公表したパスワードマネージャーの比較調査では、テスト対象10製品にChromeとFirefoxのパスワードマネージャーは含まれた一方、Edgeのパスワードマネージャーは対象から外れていた。BSIはGoogle Chromeのパスワードマネージャーを「ベンダーが理論上アクセス可能」と評価したが、Edgeはそもそも比較の俎上にも載っていない。

ユーザーは何を選ぶべきか

この問題は、単発の侵入経路となる脆弱性というよりも、すでに侵害された環境で被害が広がる速度を加速させる「設計上のリスク」と捉えるのが妥当だろう。Microsoftが「仕様」と返している以上、短期間での修正は期待しにくい。

企業のIT管理者にとっては、共有Windows環境におけるEdge利用ポリシーを見直す材料になる。特にRDS、Citrix、VDIといった構成でEdgeを使っている組織は、保存パスワードの扱いを業務上どう運用しているか、一度棚卸しする価値がある。専用のパスワードマネージャーへの移行や、Edgeでのパスワード保存を組織ポリシーで禁止する選択肢も現実的だ。

個人ユーザーの場合、自分一人しか使わないPCであれば、今回の件で大きな対応を迫られる場面は少ない。それでも、複数台で同期しているEdgeパスワードがメモリに居座り続けている事実は、利便性とのバランスを考え直すきっかけにはなる。

Rønning氏が公開したツールは、自分のEdgeが本当に平文でパスワードを抱えているのかを実際に確認できる。検証手段が公開されているのは、ユーザーが自分の環境を判断する上ではありがたい話だ。

「設計通りです」とだけ返すブラウザに、自分の認証情報をどこまで預けるか。判断材料は、すでに揃っている。

参照元

他参照