Microsoft Edge瀏覽器將所有已儲存密碼以明文形式長期保留在行程記憶體中，即使未開啟相關網站也一樣。資安研究人員已釋出概念驗證（PoC）工具，顯示具管理員權限的攻擊者可輕易傾倒（dump）這些憑證，對企業共享電腦、VDI與終端伺服器環境構成重大風險。微軟回應稱此為「設計使然」，未計劃立即改變。

 

挪威Statnett SF主動式安全技術團隊負責人Tom Jøran Sønstebyseter Rønning，在Palo Alto Networks Norway「BIG Bite of Tech」研討會上揭露此問題，並於GitHub公開PoC工具與相關資源。他指出，Edge會在行程記憶體中解密並持續存放所有已儲存密碼，「即使使用者從未造訪該網站」。此設計讓管理員權限攻擊者能在Citrix、虛擬桌面基礎架構（VDI）或Windows終端伺服器環境中，直接存取其他登入使用者的Edge行程記憶體，輕鬆取得大量憑證。

 

Rønning強調，此漏洞在企業環境特別危險。攻擊者一旦取得一台終端機的管理員權限，就能傾倒所有已登入使用者的Edge密碼，進而橫向移動、假冒身分、竊取個人或財務資料，甚至發動勒索軟體攻擊。他在X平台連續發文說明：「管理員可啟動其他使用者的Edge行程，即使該使用者並未主動使用瀏覽器。」

 

更令人憂慮的是，使用者必須輸入額外密碼才能在Edge介面查看儲存的憑證，但此機制在管理員權限下形同虛設。Detectify首席產品技術長Danwei Tran Luciani指出，這給人「錯誤的安全感」——產品宣稱有保護，實際運作卻暴露更高風險。在共享裝置、持續登入的工作階段與權限分級的企業環境中，單一端點失守可能導致多個帳戶與系統全面暴露。

 

Rønning已向微軟通報此問題，並告知將公開PoC。微軟官方回應為「by design」（設計使然）。Edge基於Chromium開放原始碼，但與Chrome、Brave等其他Chromium系瀏覽器相比，處理方式明顯不同。Rønning測試發現，Chrome僅在需要時（如自動填入或使用者查看時）才短暫解密憑證，並使用App-bound Encryption（ABE）機制，將解密綁定至已驗證的Chrome行程，防止其他行程重用金鑰，大幅降低記憶體傾倒的有效性。

 

Edge則始終將所有密碼明文載入記憶體，Rønning形容這是「奇怪的設計決定」。微軟解釋，在管理員權限下安全邊界已不存在，但Rønning反駁，ABE等機制反而更容易偵測惡意行為。

 

台灣企業高度仰賴Windows與Microsoft Edge作為預設瀏覽器，尤其在金融、科技製造、半導體、政府機關與醫療院所等單位，大量使用共享終端機、VDI與遠端桌面環境。此漏洞意味著一旦內部管理員帳戶遭入侵，或委外維護人員取得權限，即可能大規模竊取員工與客戶憑證，後續引發帳戶接管、資料外洩或供應鏈攻擊。

 

資安專家建議台灣企業立即採取以下防護措施：

 

Detectify的Luciani建議，企業應重新思考瀏覽器在企業憑證管理中的角色：「在共享裝置、虛擬環境與高權限工作階段中，風險顯著升高，必須特別加強控管。」

 

此事件再次凸顯Microsoft在Chromium客製化上的安全取捨，與其他廠商存在明顯落差。雖然微軟尚未回應是否計劃導入ABE或其他強化措施，但Rønning的PoC已證明攻擊難度不高，具管理員權限的內部威脅或已入侵的攻擊者均可輕易利用。

 

台灣資安單位與企業應將此議題列為優先檢視項目，尤其在混合工作模式普及的今天，端點安全已成為防禦最前線。建議立即清查企業內Edge使用現況，加速推動瀏覽器標準化與密碼管理策略轉型。

 

在AI與自動化工具快速發展的同時，基礎瀏覽器安全設計仍可能成為重大破口。台灣企業唯有及早強化治理與技術防線，才能避免單一瀏覽器設計缺陷演變為全域資安事件。

 

 

出處：本文根據Dark Reading特約記者Elizabeth Montalbano於2026年5月5日刊登的報導《Microsoft Edge Stores Passwords in Process Memory, Posing Enterprise Risk》改寫整理。