Doyensec publicó el 13 de octubre de 2026 una investigación sobre CVE-2026-83498: en una prueba de laboratorio, sus investigadores consiguieron ejecutar código dentro de SFAPE.dll, la enclave VBS usada por Enhanced Phishing Protection de Microsoft Defender SmartScreen. La cadena requería un proceso que ya estuviera ejecutándose localmente y pudiera cargar y llamar a la enclave. Doyensec identifica KB5124008, publicada por Microsoft el 8 de septiembre, como la corrección para Windows 11 24H2 y 25H2 (investigación de Doyensec; aviso de Microsoft sobre KB5124008).
Qué protegía la enclave SFAPE
Enhanced Phishing Protection es una función de Microsoft Defender SmartScreen que advierte cuando detecta que se intenta guardar una contraseña en una aplicación insegura. La ventana de Seguridad de Windows muestra ese tipo de aviso en un archivo abierto en el Bloc de notas.
La investigación de Doyensec se centró en la enclave VBS SFAPE.dll, utilizada por esa función. Sus investigadores describieron la ejecución de código dentro de la enclave en un entorno de laboratorio; ese fue el resultado de la demostración.
Por qué la cadena requería un proceso local
La cadena descrita necesitaba un proceso local capaz de cargar y llamar a la enclave. Doyensec identifica SFAPM.dll como el componente anfitrión que carga lsass.exe; este proceso crea y llama a SFAPE. Por tanto, la demostración partía de código ya ejecutándose en el equipo, no de una entrada remota desde Internet.
Doyensec también señala que la protección LSA puede impedir que procesos sin el nivel de protección requerido lean o inyecten código en LSASS. La configuración del sistema y su historial de instalación pueden influir en que esa protección esté activada.
Cómo se encadenaron los fallos
La primera pieza era una escritura fija de cuatro bytes: al volver a llamar a Initialize después de inicializar la enclave, se escribía un valor de estado a través de un puntero de solicitud controlado por quien realizaba la llamada. Doyensec describió esa escritura inicial como limitada.
Los investigadores la combinaron con un bypass de una comprobación de rango y una condición de carrera temporal en ClipboardInput. La secuencia permitió construir capacidades acotadas de lectura y escritura en memoria y modificar la tabla de destinos válidos de la enclave, hasta alcanzar la ejecución de código. El análisis técnico de Doyensec detalla el encadenamiento y los cambios que observó en la versión corregida.
Qué probó Doyensec y qué corrigió KB5124008
La prueba se ejecutó en Windows 11 25H2, compilación 26200.8973, con SFAPE.dll versión 10.0.26100.8875 y vertdll.dll versión 10.0.26100.8972. Doyensec comparó esa versión de SFAPE.dll con la versión corregida 10.0.26100.9444.
Microsoft publicó KB5124008 el 8 de septiembre de 2026 para todas las ediciones de Windows 11 24H2 y 25H2. Su aviso lista las compilaciones del sistema operativo 26100.9445 y 26200.9445; son números de compilación de Windows, distintos de las versiones de los archivos DLL. Doyensec identifica esta actualización como la corrección de CVE-2026-83498.
Según Doyensec, la versión corregida valida la solicitud antes de la escritura que podía activarse al repetir la inicialización, refuerza la validación y la copia de datos en ClipboardInput, y aplica una política de integridad de código que rechaza versiones antiguas de SFAPE.dll.
En su investigación publicada el 13 de octubre, Doyensec también informó de que una antigua enclave de Microsoft Edge asociada a CVE-2023-36880 todavía podía cargarse bajo la política que examinó.
