Microsoft hat eine Windows-Schwachstelle geschlossen, mit der Forscher beliebigen, vom Angreifer gewählten Code innerhalb der virtualisierungsbasierten Sicherheitsenklave (Virtualization-Based Security, VBS) ausgeführt haben. Diese Enklave unterstützt den Schutz Enhanced Phishing Protection.
Die Schwachstelle, erfasst als CVE-2026-83498, betrifft mehrere Windows-11-Versionen und Windows Server 2025. Microsoft veröffentlichte den Sicherheitshinweis und den Patch am 8. September 2026. Doyensec veröffentlichte seine Proof-of-Concept-Forschung am 13. Oktober 2026.
Für die Ausnutzung muss ein Angreifer bereits Code mit niedrigen Rechten lokal ausführen können. Eine Benutzerinteraktion ist nicht erforderlich, doch handelt es sich nicht um einen Angriff aus der Ferne. Die Laborvorführung von Doyensec hob die Isolationsmechanismen der Enklave auf; sie zeigte jedoch nicht den Diebstahl eines Windows-Passworts.
Ein Vier-Byte-Schreibvorgang öffnet den Weg in die Enklave
Die betroffene Komponente ist SFAPE.dll, die VBS-Enklave, die Enhanced Phishing Protection in Microsoft Defender SmartScreen nutzt. Diese Sicherheitsfunktion kann Nutzer warnen, wenn sie ihr Windows-Anmeldepasswort an einer unsicheren Stelle eingeben.
Laut der Berichterstattung über die Forschung von Doyensec speichert Windows eine gehashte Form des Anmeldepassworts innerhalb der Enklave, um es später vergleichen zu können. Unter Windows 11 wird die Enklave von lsass.exe geladen, einem Prozess, der als SYSTEM läuft.
Der Speicher der VBS-Enklave liegt in Virtual Trust Level 1 (VTL1) und ist damit vom gewöhnlichen Code in VTL0 getrennt. Die Schwachstelle erlaubte lokal ausgeführtem Angreifercode, diese Grenze über eine Kette aus zwei Schwachstellen zu unterlaufen.
Ein wiederholter Aufruf der Initialisierungsfunktion der Enklave konnte einen festen Fehlerwert mit vier Byte an eine vom Aufrufer gewählte Adresse schreiben. Anders als beim ersten Aufruf prüfte der zweite Aufruf die Adresse nicht auf dieselbe Weise. Doyensec stufte diese Primitive als eingeschränkt ein und nicht als allgemeinen Schreibzugriff auf beliebige Adressen.
Die Forscher fanden dennoch ein folgenreiches Ziel: einen Wert, mit dem die Enklave bestimmt, ob ein Speicherbereich zur Enklave oder zu ihrem Host gehört. Das Überschreiben dieses Werts deaktivierte eine Sicherheitsprüfung. Ein separater Timing-Fehler konnte anschließend eine kontrollierte Löschung auslösen und die Suche der Enklave nach einem gespeicherten Objekt umleiten.
Die so gewonnene Lese- und Schreibfähigkeit erlaubte es den Forschern, die Tabelle zu ersetzen, die festlegt, welcher Code die Enklave ausführen darf. Ihr Proof of Concept führte schließlich vom Angreifer gewählten Code in der geschützten Umgebung aus.
Der Sicherheitshinweis von Microsoft beschreibt die zugrunde liegende Schwäche als unsichere Dereferenzierung eines Zeigers („untrusted pointer dereference“). Demnach könnte ein Angreifer Daten aus der Zielenklave auslesen oder Code in deren Kontext ausführen. NVD ordnet das Problem CWE-822 zu.
Der CVSS-3.1-Basiswert beträgt 7,8, mit diesem Vektor:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Microsoft stuft den Schweregrad als höchste Stufe „Critical“ ein. Der temporale Wert beträgt 6,8 und spiegelt die noch nicht nachgewiesene Ausgereiftheit des Exploits sowie die Verfügbarkeit eines offiziellen Fixes wider.
Betroffene Windows-Versionen und korrigierte Builds
NVD nennt folgende Build-Grenzwerte:
| Produkt | Betroffen unterhalb von Build |
|---|---|
| Windows 11 23H2 | 10.0.22631.7582 |
| Windows 11 24H2 | 10.0.26100.9445 |
| Windows 11 25H2 | 10.0.26200.9445 |
| Windows 11 26H1 | 10.0.28000.2954 |
| Windows Server 2025 | 10.0.26100.33438 |
Für Windows 11 24H2 und 25H2 wurde die Korrektur über das kumulative Update KB5124008 vom 8. September 2026 verteilt. Administratoren sollten prüfen, ob Geräte mindestens den jeweils passenden korrigierten Build erreicht haben, und sich nicht allein auf die angezeigte Windows-Version verlassen.
Der binäre Vergleich von Doyensec ergab, dass die aktualisierte Enklave die Zieladresse prüft, bevor sie den problematischen Schreibvorgang ausführt. Microsoft verschärfte zudem die Funktion, die an der Timing-Bedingung beteiligt ist.
Das Update führt außerdem eine Richtlinie ein, die das Laden der verwundbaren SFAPE-Enklave verhindert. Laut den Berichten ist kein separater Workaround erforderlich; vorgeschrieben ist die Installation des jeweils zutreffenden kumulativen Updates.
Microsofts Einschätzung zur Ausnutzung stammt vor der öffentlichen Forschung
Bei der ursprünglichen Veröffentlichung des Hinweises am 8. September 2026 stufte Microsoft CVE-2026-83498 als nicht öffentlich offengelegt und nicht ausgenutzt ein, mit der Bewertung „Exploitation Less Likely“. Der Hinweis wurde zuletzt am 21. September 2026 aufgrund einer Änderung bei den Danksagungen überarbeitet.
Diese Einschätzungen stammen also vor der Veröffentlichung von Doyensec am 13. Oktober 2026. Die vorliegende Forschung belegt eine technische Ausnutzbarkeit im Labor, nicht aber eine Ausnutzung gegen Nutzer in freier Wildbahn.
Die praktische Folge ist zudem enger gefasst als eine Passwortkompromittierung. Obwohl die verwundbare Enklave passwortbezogene Informationen verarbeitet, zeigte Doyensec nicht, dass sich das Passwort eines Nutzers extrahieren lässt. Das bestätigte Ergebnis der Forschung war die Codeausführung innerhalb der Enklave, nachdem ein lokaler Angreifer bereits die Möglichkeit erlangt hatte, Code auf dem Gerät auszuführen.
Forscher weisen auf ein breiteres Problem beim Laden von Enklaven hin
Doyensec erklärt, Windows habe keine allgemeine Sperrliste für verwundbare Enklaven, vergleichbar mit der Sperrliste für verwundbare Treiber. Die neue Richtlinie blockiere laut Berichten gezielt die alte SFAPE-Datei und nicht jede zuvor verwundbare Enklave.
Als Beispiel nannten die Forscher eine ältere Microsoft-Edge-Enklave, die mit CVE-2023-36880 in Verbindung steht und weiterhin geladen werden kann. Diese Schwachstelle betraf prefs_enclave_x64.dll, wo unzureichende Zeigervalidierung Lese- und Schreibzugriffe innerhalb des Enklavenspeichers ermöglichte. Der GitHub Security Advisory zufolge wurde sie am 29.08.2023 gemeldet, am 27.11.2023 behoben und am 14.12.2023 offengelegt.
Die Aussage, dass diese ältere Enklave weiterhin ladbar ist, stammt aus der Analyse von Doyensec. Sie ändert jedoch nichts an der unmittelbaren Behebung von CVE-2026-83498: Administratoren von Windows 11 und Windows Server sollten das zutreffende Update vom 8. September 2026 installieren und prüfen, ob ihre Systeme mindestens den für ihre Version genannten korrigierten Build erreichen.
