Microsoft has now changed Edge so that the stable version no longer loads saved passwords into memory at startup, even though the company had initially argued that the behavior was not a security bug.

The issue was raised in early May by a security researcher who showed that all passwords stored in Edge were decrypted when the browser launched and then kept continuously, in cleartext, in the parent process memory — whether they were being used or not. He argued this was especially dangerous in shared environments such as terminal servers, where an attacker with admin privileges on a machine could inspect Edge processes belonging to all users, logged in or not. He also provided a proof of concept and noted that other Chromium-based browsers did not behave this way: in those browsers, password decryption happens only on demand and, on Windows at least, app-bound encryption prevents other processes from reusing the keys.

Microsoft’s response was essentially “it’s not a bug, it’s a feature.” The company maintained that the risk only exists after a device has already been compromised, a scenario in which any browser — and even any application — is considered defenseless and therefore outside the security scope. Chromium takes a similar view: it does not classify as a security bug the case where an attacker who already controls a device can retrieve passwords by examining browser files or memory. More broadly, so-called “physically-local” attacks are excluded from the threat model, including compromise via a malicious DLL, an API connection, or other tampering with the device configuration.

Despite that position, Microsoft has now reversed course in the name of “defense in depth,” with its Secure Future Initiative also in the background. The company has not framed the change as a fix for a bug, but Edge’s latest stable release no longer keeps passwords loaded in memory at startup.

La dernière version stable d’Edge ne charge plus les mots de passe en mémoire au démarrage.

Cet ajustement n’était pas acquis. Microsoft considérait effectivement que ce comportement était normal au regard du modèle de menace du navigateur. Il l’avait fait savoir au chercheur en sécurité qui l’avait alerté à ce sujet. C’était début mai.

Des mots de passe en clair… en continu

L’intéressé avait plus précisément montré que tous les mots de passe stockés dans Edge étaient déchiffrés au lancement et conservés continuellement dans la mémoire du processus parent, en clair, qu’ils soient utilisés ou non.

Microsoft Edge loads all your saved passwords into memory in cleartext — even when you’re not using them. pic.twitter.com/ci0ZLEYFLB

— Tom Jøran Sønstebyseter Rønning (@L1v1ng0ffTh3L4N) May 4, 2026

La situation, expliquait-il, était d’autant problématique dans les environnements partagés de type serveur terminal. Et pour cause : un attaquant disposant des privilèges admin sur une machine pouvait accéder aux processus Edge de l’ensemble des utilisateurs, connectés ou non.

Ayant accompagné ses déclarations d’un PoC, le chercheur avait ajouté que les autres navigateurs basés sur Chromium ne présentaient pas ce comportement. En extraire les mots de passe est plus difficile, clamait-il : le déchiffrement n’est fait qu’à la demande et – tout du moins sur Windows – le chiffrement lié à l’application (app-bound encryption) empêche la réutilisation des clés par d’autres processus.

Microsoft, aligné sur l’approche du projet Chromium

« It’s not a bug, it’s a feature », avait, en substance, rétorqué Microsoft. Depuis, sa position n’a pas changé : le risque ne se présente qu’après compromission de l’appareil, situation dans laquelle tout navigateur – et même toute application – est démuni. Il est par là même hors périmètre.

Le projet Chromium a la même approche. N’est pas classé comme bug de sécurité le fait qu’un attaquant ayant le contrôle d’un appareil accède aux mots de passe en inspectant les fichiers ou la mémoire du navigateur. Plus globalement, attaques « physiquement locales » (physically-local) ne font pas partie du modèle de sécurité. On entend là, par exemple, la compromission par le chargement d’une DLL malveillante, par la connexion d’une API ou par une autre altération de la configuration de l’appareil.

Au nom de la « défense en profondeur », avec notamment sa Secure Future Initiative en toile de fond, Microsoft a tout de même fini par changer son fusil d’épaule…

Illustration générée par IA

The post Edge et les mots de passe : Microsoft exclut tout bug mais corrige quand même appeared first on Silicon.fr.