Microsoft ha corretto una vulnerabilità di Windows che i ricercatori hanno usato per eseguire codice scelto dall'attaccante all'interno dell'enclave Virtualization-Based Security che supporta Enhanced Phishing Protection.
La falla, identificata come CVE-2026-83498, interessa diverse release di Windows 11 e Windows Server 2025. Microsoft ha pubblicato l'avviso e la correzione l'8 settembre 2026. Doyensec ha pubblicato la propria ricerca con proof of concept il 13 ottobre 2026.
Lo sfruttamento richiede che l'attaccante abbia già del codice in esecuzione in locale, con privilegi bassi. Non è richiesta l'interazione dell'utente, ma non si tratta di un attacco remoto. La dimostrazione di laboratorio di Doyensec ha aggirato i controlli di isolamento dell'enclave; non ha però mostrato il furto di una password di Windows.
Una scrittura di quattro byte apre la strada all'interno dell'enclave
Il componente interessato è SFAPE.dll, che contiene l'enclave VBS usata da Enhanced Phishing Protection in Microsoft Defender SmartScreen. La funzione di sicurezza può avvisare l'utente quando inserisce la password di accesso a Windows in una posizione non sicura.
Secondo il resoconto della ricerca di Doyensec, Windows conserva all'interno dell'enclave una rappresentazione con hash della password di accesso, da usare nei confronti successivi. Su Windows 11, l'enclave viene caricato da lsass.exe, un processo in esecuzione come SYSTEM.
La memoria dell'enclave VBS si trova in Virtual Trust Level 1, o VTL1, separata dal normale codice in VTL0. La vulnerabilità permetteva al codice dell'attaccante, in esecuzione in locale, di aggirare questo confine attraverso una catena di due debolezze.
Una chiamata ripetuta alla funzione di inizializzazione dell'enclave poteva scrivere un valore di errore fisso di quattro byte in un indirizzo scelto dal chiamante. A differenza della chiamata iniziale, la seconda invocazione non eseguiva la stessa validazione dell'indirizzo. Doyensec ha descritto questa primitiva come limitata, e non come una scrittura arbitraria di uso generale.
I ricercatori hanno comunque individuato un bersaglio rilevante: un valore che l'enclave usa per stabilire se una porzione di memoria appartiene all'enclave o al sistema host. La corruzione di quel valore disattivava un controllo di sicurezza. Un altro difetto, legato alla temporizzazione, poteva poi innescare un azzeramento controllato e reindirizzare la ricerca di un oggetto memorizzato.
La capacità di lettura e scrittura così ottenuta ha permesso ai ricercatori di sostituire la tabella che regola quale codice l'enclave può eseguire. Il proof of concept ha infine eseguito codice scelto dall'attaccante all'interno dell'ambiente protetto.
L'avviso di sicurezza di Microsoft descrive la debolezza di fondo come una dereferenziazione di puntatore non attendibile e afferma che un attaccante potrebbe far trapelare dati dall'enclave bersaglio o eseguire codice nel suo contesto. NVD associa il problema a CWE-822.
Il punteggio base CVSS 3.1 è 7,8, con questo vettore:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Microsoft indica la gravità massima come Critica. Il punteggio temporale è 6,8, che riflette una maturità dell'exploit non dimostrata e la disponibilità di una correzione ufficiale.
Versioni di Windows interessate e build corrette
NVD indica le seguenti soglie di build:
| Prodotto | Vulnerabili con build inferiore a |
|---|---|
| Windows 11 23H2 | 10.0.22631.7582 |
| Windows 11 24H2 | 10.0.26100.9445 |
| Windows 11 25H2 | 10.0.26200.9445 |
| Windows 11 26H1 | 10.0.28000.2954 |
| Windows Server 2025 | 10.0.26100.33438 |
Per Windows 11 24H2 e 25H2, la correzione è stata distribuita con l'aggiornamento cumulativo dell'8 settembre 2026, KB5124008. Gli amministratori dovrebbero verificare che i dispositivi abbiano raggiunto almeno la build corretta pertinente, anziché affidarsi soltanto al nome di release di Windows visualizzato.
Il confronto binario di Doyensec ha rilevato che l'enclave aggiornato convalida l'indirizzo di destinazione prima di eseguire la scrittura problematica. Microsoft ha inoltre irrigidito la funzione coinvolta nella condizione di temporizzazione.
L'aggiornamento introduce anche una policy che impedisce il caricamento dell'enclave SFAPE vulnerabile. Secondo il resoconto, non serve alcuna mitigazione separata: l'azione prevista è installare l'aggiornamento cumulativo applicabile.
La valutazione di sfruttamento di Microsoft precede la ricerca pubblica
Alla pubblicazione originale dell'avviso, l'8 settembre 2026, Microsoft ha indicato CVE-2026-83498 come non divulgata pubblicamente e non sfruttata, con una valutazione «Exploitation Less Likely». L'avviso è stato rivisto l'ultima volta il 21 settembre 2026, per una modifica nei riconoscimenti.
Queste valutazioni precedono quindi la pubblicazione di Doyensec del 13 ottobre. La ricerca disponibile dimostra la sfruttabilità tecnica in laboratorio, non uno sfruttamento contro utenti reali.
La conseguenza pratica è anche più limitata di una compromissione della password. Sebbene l'enclave vulnerabile gestisca informazioni legate alla password, Doyensec non ha dimostrato l'estrazione della password di un utente. L'esito confermato della ricerca è l'esecuzione di codice all'interno dell'enclave, dopo che un attaccante locale aveva già ottenuto la possibilità di eseguire codice sulla macchina.
I ricercatori segnalano un problema più ampio sul caricamento degli enclave
Doyensec sostiene che Windows non disponga di una blocklist generale per gli enclave vulnerabili, paragonabile a quella per i driver vulnerabili. Secondo quanto riportato, la nuova policy blocca in modo specifico il vecchio file SFAPE, anziché impedire il caricamento di ogni enclave precedentemente vulnerabile.
Come esempio, i ricercatori hanno indicato che un enclave più vecchio di Microsoft Edge, associato a CVE-2023-36880, poteva ancora essere caricato. Quella falla interessava prefs_enclave_x64.dll, dove una validazione insufficiente dei puntatori consentiva letture e scritture nella memoria dell'enclave. Il suo avviso di sicurezza GitHub riporta che è stata segnalata il 29 agosto 2023, corretta il 27 novembre 2023 e divulgata il 14 dicembre 2023.
L'affermazione secondo cui questo enclave più vecchio resta caricabile deriva dall'analisi di Doyensec. Ciò non modifica l'intervento immediato per CVE-2026-83498: gli amministratori di Windows 11 e Windows Server dovrebbero installare l'aggiornamento applicabile dell'8 settembre 2026 e verificare che i sistemi raggiungano o superino la build corretta indicata per la propria release.
