Vulnerabilitate în enclava SmartScreen (CVE-2026-83498): cod străin în cea mai protejată zonă de memorie din Windows

Enclavele VBS (virtualization-based security) au un singur scop: să păstreze secretele în siguranță chiar și după ce restul sistemului Windows a fost compromis. O cercetare nouă a firmei de securitate Doyensec arată că această promisiune are limite. Cercetătorii au combinat o scriere minusculă în memorie cu o eroare de sincronizare (race condition) și au reușit să ruleze propriul cod în enclava care susține protecția anti-phishing din Microsoft Defender SmartScreen.

Vestea bună: Microsoft a corectat problema în septembrie, nu există semne că ar fi fost folosită în atacuri reale și nu poate fi declanșată de la distanță. Vestea mai puțin bună: corecția lasă deschisă o problemă mai largă, tehnica „bring your own vulnerable enclave”.

Ce s-a întâmplat

Ținta: SFAPE.dll, enclava VBS din spatele funcției Enhanced Phishing Protection din Defender SmartScreen. Ea păstrează o versiune hash a parolei tale de Windows, ca sistemul să te poată avertiza când o tastezi sau o lipești într-un loc nesigur, cum ar fi o pagină de phishing sau un fișier text. Pe Windows 11, enclava este încărcată de lsass.exe, care rulează ca SYSTEM.
Eroarea de pornire: dacă rutina de inițializare a enclavei este apelată a doua oară, aceasta scrie o valoare fixă de eroare de patru octeți la o adresă aleasă de apelant și, de data aceasta, nu mai verifică adresa. Doyensec spune că a o numi „scriere arbitrară” ar fi o exagerare enormă.
Lanțul de atac: țintită precis, această singură scriere corupe valoarea prin care enclava își deosebește propria memorie de cea a procesului gazdă. Astfel, o verificare esențială de siguranță nu mai funcționează. O eroare de sincronizare dintr-o altă funcție provoacă apoi o ștergere controlată. Cercetătorii au obținut astfel acces de citire/scriere și au înlocuit tabela care decide ce cod are voie să ruleze enclava.
Rezultatul: cod ales de atacator rulează în zona izolată a enclavei (VTL1 / Isolated User Mode). Cercetarea nu a demonstrat că parola unui utilizator a fost efectiv extrasă.

Microsoft urmărește problema ca CVE-2026-83498: o vulnerabilitate de tip elevare de privilegii, clasificată Critică, cu scor CVSS 7.8. Microsoft spune că a descoperit aceeași problemă și intern și că vulnerabilitatea nu era publică și nici exploatată înainte de corecție. Doyensec și-a publicat analiza pe 13 octombrie 2026, la mai bine de o lună după patch.

De ce contează

Impactul este mai restrâns decât sugerează eticheta „Critică”, dar ținta este importantă:

Doar local. Atacatorul are nevoie de cod care rulează deja pe mașină și care poate încărca și apela enclava (în cazul SFAPE, asta înseamnă LSASS). Este o cale de a pătrunde mai adânc dintr-o poziție deja câștigată, nu o cale de intrare.
Cade cea mai puternică barieră de izolare. Enclavele VBS sunt gândite să reziste chiar și în fața unui kernel compromis sau a unui malware cu drepturi SYSTEM. Codul care rulează într-o enclavă este ascuns de majoritatea soluțiilor EDR și a instrumentelor de la nivel de kernel.
Golul din lista de blocare rămâne. Actualizarea din septembrie include o politică ce împiedică încărcarea vechii enclave SFAPE. Însă Windows nu are o listă generală de blocare pentru enclave vulnerabile, așa cum are pentru driverele vulnerabile. Potrivit Doyensec, o enclavă mai veche din Microsoft Edge, cu o vulnerabilitate similară de citire/scriere (CVE-2023-36880), poate fi încă încărcată. Nu este clar dacă e o decizie intenționată sau o scăpare. Oricum ar fi, lasă loc tehnicii „bring your own vulnerable enclave”, pe care cercetări anterioare Akamai și Outflank au folosit-o pentru a ascunde cod și date de instrumentele de securitate.

Ce trebuie să faci

Aplică actualizarea. Instalează actualizarea cumulativă din 8 septembrie 2026, KB5124008 (Windows 11 24H2 și 25H2), sau una mai nouă. Nu există o soluție alternativă separată. Actualizarea este remedierea și blochează și încărcarea enclavei vulnerabile.
Verifică dacă actualizarea chiar s-a instalat. Folosește inventarul din soluția de patch management sau EDR pentru a găsi stațiile Windows 11 care nu au actualizarea cumulativă din septembrie (sau una mai nouă), mai ales stațiile administratorilor și serverele de tip jump host.
Protejează LSASS. Activează protecția LSA (RunAsPPL) și Credential Guard acolo unde sunt suportate. Setează alerte pentru orice proces care deschide un handle către lsass.exe sau injectează cod în el. De această poziție depinde întregul lanț de atac.
Caută încărcări neobișnuite de enclave. Tratează ca suspecte DLL-urile de enclavă semnate, dar neobișnuite sau învechite, încărcate de procese nestandard. Asta include binarele vechi de enclavă Edge apărute în afara căii lor normale de instalare.
Pornește de la ipoteza că atacatorul e deja pe sistem și limitează pagubele. Vulnerabilitatea contează doar după ce atacatorul are deja acces la o stație. Principiul privilegiului minim, controlul aplicațiilor (WDAC / App Control for Business) și izolarea rapidă a stațiilor compromise sunt cele care opresc primul pas.

Sursa știrii: The Hacker News. Cercetarea originală: Doyensec. Buletin oficial: Microsoft — CVE-2026-83498.