Dans une recherche publiée le 13 octobre 2026, Doyensec décrit une chaîne qui a permis, en laboratoire, d’exécuter du code choisi par un attaquant dans SFAPE.dll, l’enclave VBS d’Enhanced Phishing Protection, une fonction de Microsoft Defender SmartScreen. La chaîne exigeait déjà un processus local capable de charger et d’appeler l’enclave. Doyensec identifie la mise à jour KB5124008, publiée par Microsoft le 8 septembre, comme le correctif (recherche technique de Doyensec ; avis de mise à jour de Microsoft).
L’enclave derrière l’avertissement SmartScreen
Enhanced Phishing Protection surveille notamment la saisie ou le collage de mots de passe dans des applications et peut avertir l’utilisateur lorsqu’il risque de les enregistrer dans un fichier. Cette fonction s’appuie sur SFAPE.dll, une enclave de sécurité fondée sur la sécurité basée sur la virtualisation (VBS). Microsoft Defender SmartScreen protège aussi contre les sites d’hameçonnage ou malveillants et les téléchargements potentiellement dangereux (présentation de Microsoft Defender SmartScreen).
Une chaîne qui nécessitait déjà un accès local
La chaîne décrite ne constituait pas une voie d’entrée à distance : elle supposait qu’un processus s’exécutant déjà sur l’ordinateur puisse charger et appeler l’enclave. Doyensec indique que le composant SFAPM.dll passe par lsass.exe, qui crée et appelle l’enclave SFAPE.
La protection LSA de Windows peut empêcher des processus ordinaires, y compris des processus SYSTEM, de lire LSASS ou d’y injecter du code s’ils ne satisfont pas aux exigences de protection. La configuration du système et son historique d’installation peuvent influer sur l’activation de cette protection. L’accès local requis ne signifie donc pas que n’importe quel processus puisse atteindre l’enclave.
De l’écriture de quatre octets à l’exécution de code
Le premier défaut décrit par Doyensec se déclenchait lorsqu’une fonction d’initialisation était appelée une seconde fois après la configuration. Elle écrivait une valeur d’état fixe sur quatre octets à une adresse fournie par le processus appelant. Cette écriture, à elle seule, ne permettait pas d’écrire librement n’importe quelle valeur à n’importe quelle adresse.
Les chercheurs ont combiné ce défaut avec le contournement d’un contrôle de plage mémoire et une course temporelle dans le traitement de ClipboardInput. Cette combinaison leur a permis de construire des capacités limitées de lecture et d’écriture en mémoire, puis de modifier la table des cibles autorisées de l’enclave. Le résultat rapporté est l’exécution de code dans SFAPE en laboratoire. La recherche ne démontre pas le vol d’un mot de passe.
Doyensec indique avoir signalé le défaut initial au Microsoft Security Response Center le 7 août 2026, puis avoir communiqué le 11 août qu’il avait étendu la chaîne jusqu’à l’exécution de code dans son environnement de test. Microsoft a publié KB5124008 le 8 septembre ; Doyensec a rendu son analyse technique publique le 13 octobre.
KB5124008 et les versions concernées
Microsoft indique que KB5124008 s’applique à toutes les éditions de Windows 11 24H2 et 25H2. Doyensec identifie cette mise à jour comme la correction du défaut SFAPE.
L’équipe a testé Windows 11 25H2, build 26200.8973, avec SFAPE.dll 10.0.26100.8875 et vertdll.dll 10.0.26100.8972. Pour sa comparaison avec le composant corrigé, elle indique SFAPE.dll version 10.0.26100.9444. De son côté, l’avis de Microsoft associe KB5124008 aux builds Windows 26100.9445 et 26200.9445 : ces numéros désignent les builds du système, tandis que 10.0.26100.9444 désigne la version d’une DLL.
Selon Doyensec, le correctif valide la requête avant l’écriture déclenchée par une nouvelle initialisation, renforce le contrôle et la copie des données traitées par ClipboardInput, et ajoute une politique d’intégrité du code VBS qui rejette les anciennes images SFAPE.
Une observation distincte sur l’enclave de Microsoft Edge
Doyensec rapporte qu’une ancienne enclave de Microsoft Edge associée à CVE-2023-36880 restait chargeable dans l’état de la politique examiné par l’équipe. Il s’agit d’une observation séparée sur le chargement d’une enclave, et non du résultat de la démonstration concernant SFAPE.
