Microsoft a corrigé une vulnérabilité de Windows que des chercheurs ont utilisée pour exécuter du code choisi par l'attaquant dans l'enclave Virtualization-Based Security qui prend en charge Enhanced Phishing Protection.
La faille, suivie sous le nom CVE-2026-83498, touche plusieurs versions de Windows 11 et Windows Server 2025. Microsoft a publié son bulletin et le correctif le 8 septembre 2026. Doyensec a publié ses travaux de preuve de concept le 13 octobre 2026.
L'exploitation exige que l'attaquant dispose déjà de code en cours d'exécution en local, avec des privilèges faibles. Aucune interaction de l'utilisateur n'est nécessaire, mais il ne s'agit pas d'une attaque à distance. La démonstration de laboratoire de Doyensec a contourné les contrôles d'isolation de l'enclave ; elle n'a pas montré le vol d'un mot de passe Windows.
Une écriture de quatre octets ouvre la voie vers l'enclave
Le composant concerné est SFAPE.dll, qui contient l'enclave VBS utilisée par Enhanced Phishing Protection dans Microsoft Defender SmartScreen. Cette fonctionnalité de sécurité peut avertir les utilisateurs lorsqu'ils saisissent leur mot de passe de connexion Windows à un emplacement non sûr.
Selon le compte rendu de la recherche de Doyensec, Windows conserve dans l'enclave une représentation hachée du mot de passe de connexion, afin de pouvoir la comparer ultérieurement. Sous Windows 11, l'enclave est chargée par lsass.exe, un processus exécuté en tant que SYSTEM.
La mémoire de l'enclave VBS se trouve au niveau de confiance virtuel 1, ou VTL1, qui la sépare du code ordinaire du VTL0. La vulnérabilité permettait à du code de l'attaquant exécuté localement de franchir cette frontière, au moyen d'une chaîne de deux faiblesses.
Un appel répété à la fonction d'initialisation de l'enclave pouvait écrire une valeur d'erreur fixe de quatre octets à une adresse choisie par l'appelant. Contrairement à l'appel initial, la seconde invocation n'effectuait pas la même validation d'adresse. Doyensec a qualifié cette primitive de limitée, et non d'écriture arbitraire générique.
Les chercheurs ont néanmoins identifié une cible importante : une valeur que l'enclave utilise pour déterminer si une zone mémoire lui appartient ou appartient à l'hôte. La corruption de cette valeur a désactivé un contrôle de sécurité. Une autre faille de synchronisation pouvait ensuite déclencher un effacement contrôlé et rediriger la recherche, par l'enclave, d'un objet stocké.
La capacité de lecture et d'écriture qui en résultait a permis aux chercheurs de remplacer la table qui régit le code que l'enclave peut exécuter. Leur preuve de concept a finalement exécuté du code choisi par l'attaquant dans l'environnement protégé.
Le bulletin de sécurité de Microsoft décrit la faiblesse sous-jacente comme un déréférencement de pointeur non fiable, et indique qu'un attaquant pourrait faire fuir des données de l'enclave cible ou exécuter du code dans son contexte. NVD associe le problème au CWE-822.
Le score de base CVSS 3.1 est de 7,8, avec le vecteur :
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Microsoft indique la gravité maximale comme Critique. Son score temporel est de 6,8, ce qui reflète une maturité d'exploitation non démontrée et la disponibilité d'un correctif officiel.
Versions Windows concernées et builds corrigées
NVD identifie les seuils de build suivants :
| Produit | Affecté avant la build |
|---|---|
| Windows 11 23H2 | 10.0.22631.7582 |
| Windows 11 24H2 | 10.0.26100.9445 |
| Windows 11 25H2 | 10.0.26200.9445 |
| Windows 11 26H1 | 10.0.28000.2954 |
| Windows Server 2025 | 10.0.26100.33438 |
Pour Windows 11 24H2 et 25H2, la correction a été distribuée avec la mise à jour cumulative KB5124008 du 8 septembre 2026. Les administrateurs doivent vérifier que les appareils ont atteint au moins la build corrigée correspondante, plutôt que de se fier uniquement au nom de version Windows affiché.
La comparaison binaire réalisée par Doyensec montre que l'enclave mise à jour valide l'adresse de destination avant d'effectuer l'écriture problématique. Microsoft a également renforcé la fonction impliquée dans la condition de synchronisation.
La mise à jour introduit en outre une stratégie qui empêche le chargement de l'enclave vulnérable SFAPE. Selon les informations disponibles, aucune solution de contournement distincte n'est nécessaire ; l'installation de la mise à jour cumulative applicable est l'action recommandée.
L'évaluation de l'exploitation par Microsoft est antérieure à la recherche publique
À la publication initiale du bulletin, le 8 septembre 2026, Microsoft a indiqué que la CVE-2026-83498 n'était pas divulguée publiquement et n'était pas exploitée, avec l'évaluation « Exploitation Less Likely ». Le bulletin a été révisé pour la dernière fois le 21 septembre 2026, pour une modification de la mention de remerciement.
Ces évaluations sont donc antérieures à la publication de Doyensec du 13 octobre. Les travaux disponibles démontrent une exploitabilité technique en laboratoire, et non une exploitation contre des utilisateurs dans la nature.
La conséquence pratique est aussi plus limitée qu'une compromission de mot de passe. Bien que l'enclave vulnérable traite des informations liées aux mots de passe, Doyensec n'a pas démontré l'extraction du mot de passe d'un utilisateur. Le résultat confirmé de la recherche est l'exécution de code dans l'enclave, après qu'un attaquant local a déjà obtenu la capacité d'exécuter du code sur la machine.
Les chercheurs signalent un problème plus large de chargement des enclaves
Doyensec indique que Windows ne dispose pas d'une liste de blocage générale des enclaves vulnérables, comparable à sa liste de blocage des pilotes vulnérables. D'après les informations rapportées, la nouvelle stratégie bloque spécifiquement l'ancien fichier SFAPE, plutôt que d'empêcher le chargement de chaque enclave précédemment vulnérable.
À titre d'exemple, les chercheurs ont indiqué qu'une ancienne enclave de Microsoft Edge, associée à la CVE-2023-36880, pouvait encore être chargée. Ce problème touchait prefs_enclave_x64.dll, où une validation insuffisante des pointeurs permettait des lectures et des écritures dans la mémoire de l'enclave. Son GitHub Security Advisory indique qu'il a été signalé le 29 août 2023, corrigé le 27 novembre 2023 et divulgué le 14 décembre 2023.
L'affirmation selon laquelle cette ancienne enclave reste chargeable provient de l'analyse de Doyensec. Elle ne modifie pas la remédiation immédiate de la CVE-2026-83498 : les administrateurs de Windows 11 et de Windows Server doivent déployer la mise à jour applicable du 8 septembre 2026 et confirmer que leurs systèmes atteignent ou dépassent la build corrigée indiquée pour leur version.
