Microsoft ha parcheado una vulnerabilidad de Windows que los investigadores utilizaron para ejecutar código elegido por el atacante dentro del enclave de Seguridad basada en virtualización (VBS) que da soporte a Enhanced Phishing Protection.
El fallo, identificado como CVE-2026-83498, afecta a varias versiones de Windows 11 y a Windows Server 2025. Microsoft publicó el aviso y la corrección el 8 de septiembre de 2026. Doyensec publicó su investigación con prueba de concepto el 13 de octubre de 2026.
La explotación requiere que el atacante ya tenga código ejecutándose localmente con privilegios bajos. No se necesita interacción del usuario, pero no se trata de un ataque remoto. La demostración de laboratorio de Doyensec eludió los controles de aislamiento del enclave; no mostró el robo de una contraseña de Windows.
Una escritura de cuatro bytes abre el camino hacia el enclave
El componente afectado es SFAPE.dll, que contiene el enclave VBS que usa Enhanced Phishing Protection en Microsoft Defender SmartScreen. La función de seguridad puede advertir a los usuarios cuando introducen su contraseña de inicio de sesión de Windows en una ubicación no segura.
Según la cobertura de la investigación de Doyensec, Windows almacena una representación con hash de la contraseña de inicio de sesión dentro del enclave para compararla más tarde. En Windows 11, el enclave lo carga lsass.exe, un proceso que se ejecuta como SYSTEM.
La memoria del enclave VBS reside en el Nivel de Confianza Virtual 1 (VTL1), separada del código ordinario de VTL0. La vulnerabilidad permitió que código del atacante que se ejecuta localmente socavara ese límite mediante una cadena de dos debilidades.
Una llamada repetida a la función de inicialización del enclave podía escribir un valor de error fijo de cuatro bytes en una dirección elegida por quien hace la llamada. A diferencia de la llamada inicial, la segunda invocación no realizaba la misma validación de dirección. Doyensec caracterizó esta primitiva como limitada, en lugar de una escritura arbitraria de propósito general.
No obstante, los investigadores encontraron un objetivo relevante: un valor que el enclave usa para determinar si una memoria pertenece al propio enclave o a su host. Corromper ese valor desactivaba una comprobación de seguridad. Un fallo de temporización independiente podía entonces provocar un borrado controlado y redirigir la búsqueda que el enclave hace de un objeto almacenado.
La capacidad resultante de lectura y escritura les permitió reemplazar la tabla que regula qué código puede ejecutar el enclave. Su prueba de concepto acabó ejecutando código elegido por el atacante dentro del entorno protegido.
El aviso de seguridad de Microsoft describe la debilidad subyacente como una desreferenciación de puntero no confiable y señala que un atacante podría filtrar datos del enclave objetivo o ejecutar código en su contexto. NVD asocia el problema con CWE-822.
La puntuación base de CVSS 3.1 es 7,8, con el vector:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Microsoft clasifica la gravedad máxima como Crítica. Su puntuación temporal es 6,8, lo que refleja una madurez de explotación no demostrada y la disponibilidad de una corrección oficial.
Versiones afectadas de Windows y compilaciones corregidas
NVD identifica los siguientes umbrales de compilación:
| Producto | Afectado por debajo de la compilación |
|---|---|
| Windows 11 23H2 | 10.0.22631.7582 |
| Windows 11 24H2 | 10.0.26100.9445 |
| Windows 11 25H2 | 10.0.26200.9445 |
| Windows 11 26H1 | 10.0.28000.2954 |
| Windows Server 2025 | 10.0.26100.33438 |
En Windows 11 24H2 y 25H2, la corrección se distribuyó con la actualización acumulativa del 8 de septiembre de 2026 KB5124008. Los administradores deben verificar que los equipos han alcanzado al menos la compilación corregida correspondiente, en lugar de fiarse solo del nombre de versión de Windows que se muestra.
La comparación binaria de Doyensec reveló que el enclave actualizado valida la dirección de destino antes de realizar la escritura problemática. Microsoft también reforzó la función implicada en la condición de temporización.
La actualización además introduce una directiva que impide cargar el enclave SFAPE vulnerable. Según la cobertura, no se requiere ninguna solución alternativa independiente; la acción prescrita es instalar la actualización acumulativa correspondiente.
La evaluación de explotación de Microsoft es anterior a la investigación pública
En la publicación original del aviso, el 8 de septiembre de 2026, Microsoft marcó CVE-2026-83498 como no divulgada públicamente y no explotada, con una valoración de «Explotación menos probable». El aviso se revisó por última vez el 21 de septiembre de 2026, para un cambio en los reconocimientos.
Por tanto, esas valoraciones son anteriores a la publicación de Doyensec del 13 de octubre. La investigación disponible demuestra la explotabilidad técnica en laboratorio, no una explotación contra usuarios reales.
La consecuencia práctica también es más limitada que el compromiso de una contraseña. Aunque el enclave vulnerable maneja información relacionada con contraseñas, Doyensec no demostró la extracción de la contraseña de un usuario. El resultado confirmado de la investigación fue la ejecución de código dentro del enclave, después de que un atacante local ya hubiera logrado ejecutar código en la máquina.
Los investigadores señalan un problema más amplio con la carga de enclaves
Doyensec afirma que Windows no dispone de una lista de bloqueo general para enclaves vulnerables comparable a su lista de bloqueo de controladores vulnerables. Según se informa, la nueva directiva bloquea específicamente el antiguo archivo SFAPE, en lugar de impedir la carga de todos los enclaves vulnerables anteriores.
Como ejemplo, los investigadores indicaron que todavía podía cargarse un enclave antiguo de Microsoft Edge asociado a CVE-2023-36880. Ese problema afectaba a prefs_enclave_x64.dll, donde una validación insuficiente de punteros permitía leer y escribir dentro de la memoria del enclave. Su GitHub Security Advisory registra que fue reportada el 29 de agosto de 2023, corregida el 27 de noviembre de 2023 y divulgada el 14 de diciembre de 2023.
La afirmación de que este enclave antiguo sigue pudiendo cargarse procede del análisis de Doyensec. No modifica la solución inmediata para CVE-2026-83498: los administradores de Windows 11 y Windows Server deben desplegar la actualización correspondiente del 8 de septiembre de 2026 y confirmar que los sistemas igualan o superan la compilación corregida indicada para su versión.
