Am 13. Oktober 2026 veröffentlichte Doyensec eine technische Analyse zu CVE-2026-83498: In einem Labortest führte eine Angriffskette zu Codeausführung in der SFAPE-VBS-Enklave von Microsoft Defender SmartScreen. Dafür musste bereits ein lokaler Prozess laufen, der die Enklave laden und aufrufen konnte. Doyensec identifiziert Microsofts am 8. September veröffentlichtes Update KB5124008 als Korrektur für Windows 11 24H2 und 25H2. (Doyensec; Microsofts Updatehinweis zu KB5124008)
Welche Rolle die SFAPE-Enklave spielt
SFAPE.dll stellt eine Enklave bereit, also eine isolierte Ausführungsumgebung für Enhanced Phishing Protection in Microsoft Defender SmartScreen. Die Funktion warnt unter anderem, wenn ein Passwort in einer ungeeigneten Anwendung gespeichert wird. (Doyensec; Microsofts Überblick zu Defender SmartScreen)
Doyensecs Demonstration erreichte Codeausführung innerhalb dieser Enklave. Die beschriebene Angriffskette setzte einen Prozess voraus, der die Enklave lokal laden und aufrufen konnte. Doyensec zufolge lädt die LSA-Komponente SFAPM.dll den Hostprozess lsass.exe, der die SFAPE-Enklave erstellt und aufruft. Der Schutz von LSA kann den Zugriff gewöhnlicher Prozesse auf LSASS verhindern; ob er aktiviert ist, hängt laut Doyensec unter anderem von Konfiguration und Installationsverlauf ab. (Doyensec)
Wie aus vier Bytes eine Angriffskette wurde
Der erste Fehler allein erlaubte keinen beliebigen Schreibzugriff. Doyensec beschreibt einen erneuten Aufruf der Initialize-Funktion nach der Initialisierung: Dabei schrieb SFAPE einen festen Statuswert über einen vom Aufrufer kontrollierten Zeiger – genau vier Byte. Die Forschenden verketteten diesen begrenzten Schreibzugriff mit einem umgangenen Bereichscheck und einer zeitabhängigen Race Condition bei ClipboardInput. So entstanden eingeschränkte Lese- und Schreibmöglichkeiten, mit denen sie schließlich die Tabelle gültiger Ziele der Enklave veränderten und Codeausführung erreichten. (Doyensec)
Getestete Versionen und Korrekturen in KB5124008
Doyensec testete die Angriffskette auf Windows 11 25H2, Build 26200.8973. Die verwendete SFAPE.dll hatte die Version 10.0.26100.8875, vertdll.dll die Version 10.0.26100.8972. Als korrigierte SFAPE-Komponente nennt Doyensec Version 10.0.26100.9444. (Doyensec)
Microsofts Update KB5124008 vom 8. September 2026 gilt für alle Editionen von Windows 11 24H2 und 25H2. Der Supporthinweis führt die Betriebssystem-Builds 26100.9445 und 26200.9445 auf; diese Nummern bezeichnen Windows-Builds, während 10.0.26100.9444 die Versionsnummer der SFAPE.dll ist. (Microsofts Updatehinweis zu KB5124008)
Doyensec zufolge prüft die korrigierte SFAPE-Komponente die Anfrage vor dem Schreibzugriff bei einer erneuten Initialisierung. Außerdem wurde die Verarbeitung von ClipboardInput angepasst, um die demonstrierte Race Condition zu verhindern; eine aktualisierte Richtlinie für die Codeintegrität blockiert ältere SFAPE-Abbilder. (Doyensec)
Separater Hinweis zu einer älteren Microsoft-Edge-Enklave
In der am 13. Oktober 2026 veröffentlichten Analyse berichtete Doyensec, eine ältere Microsoft-Edge-Enklave mit Bezug zu CVE-2023-36880 sei unter dem untersuchten Richtlinienstand weiterhin ladbar. (Doyensec; Google Security Research zu CVE-2023-36880)
