Microsoftは、Edgeウェブブラウザのアップデートを行い、起動時に保存済みパスワードをプロセスメモリに平文（クリアテキスト）で読み込む動作を停止させる [1]。

この変更は、悪意のあるソフトウェアがコンピュータのメモリから機密性の高いユーザー認証情報を直接抽出することを可能にする、重大な脆弱性に対処するものだ。起動プロセスから平文パスワードを排除することで、MicrosoftはWindowsプラットフォームにおける認証情報窃取マルウェアの攻撃対象領域（アタックサーフェス）を削減する [1], [2]。

この決定は、あるセキュリティ研究者がこの動作を重大なリスクとして指摘したことを受けたものである [3]。同研究者は、このような方法でパスワードを読み込むことで、マルウェアがシステムから情報を略奪することが容易になると述べた [3]。

当初、同社はこの慣行をセキュリティ上の欠陥とは見なしていなかった。Microsoftは、この動作はセキュリティ上の懸念事項ではないとしていた [4]。しかし、世論の反発と、悪用される可能性に関するさらなる証拠が提示されたことを受け、同社は方針を変更した [3]。

Edgeは主にWindowsプラットフォームで使用されており、そこではメモリをスキャンしてデータを盗み出す「メモリスクレイピング攻撃」が一般的な手法となっている [2]。今回のアップデートにより、ブラウザの初回起動時に保存済みパスワードがプロセスメモリ内で暗号化されていない状態で保存されることはなくなる [1], [2]。

Microsoftは公開ドキュメントにおいて、この修正の展開に関する具体的なスケジュールは提示していないが、開発チームはアプローチを変更したと述べている [1]。

“Microsoftは、起動時に保存済みパスワードをプロセスメモリに平文で読み込まないようEdgeウェブブラウザをアップデートしている。”

今回のアップデートは、Microsoftがブラウザのパフォーマンスとセキュリティのバランスをどのように捉えているかという方針転換を反映している。起動時にパスワードをメモリに読み込むことで、パスワードマネージャーの速度がわずかに向上していた可能性があるが、マルウェアがRAMを読み取って機密文字列を探し出す「メモリスクレイピング」のリスクがそのメリットを上回った。この動きにより、Edgeはローカルでの認証情報窃取を防ぐために他のモダンブラウザが採用している、より厳格なセキュリティ基準に準拠することになる。