Il 13 ottobre 2026 il ricercatore Adrian Denkiewicz di Doyensec ha pubblicato una dimostrazione in laboratorio di esecuzione di codice all’interno dell’enclave VBS SFAPE.dll, usata da Enhanced Phishing Protection di Microsoft Defender SmartScreen. La catena descritta richiedeva un processo già in esecuzione sul computer, capace di caricare e chiamare l’enclave. Doyensec identifica come correzione l’aggiornamento Microsoft KB5124008, pubblicato l’8 settembre 2026 per Windows 11 24H2 e 25H2. (Ricerca tecnica di Doyensec; avviso Microsoft su KB5124008)
La falla riguardava l’enclave di Enhanced Phishing Protection
Microsoft Defender SmartScreen protegge da siti di phishing e malware e da download potenzialmente dannosi. La funzione Enhanced Phishing Protection si appoggia all’enclave SFAPE.dll, un ambiente di esecuzione isolato basato su VBS. (Panoramica Microsoft Defender SmartScreen; ricerca di Doyensec)
La dimostrazione descritta da Doyensec ha portato all’esecuzione di codice all’interno dell’enclave. Il risultato riguardava l’ambiente isolato: la ricerca non ha dimostrato la lettura o il furto di password.
Perché la catena richiedeva un processo locale
Secondo Doyensec, il processo locale doveva poter caricare e chiamare l’enclave. Il componente SFAPM.dll, caricato da lsass.exe, crea e invoca SFAPE. La catena descritta non era quindi un accesso iniziale da remoto: presupponeva codice già presente sul computer e in grado di raggiungere quel percorso.
Doyensec segnala anche il ruolo della protezione LSA. Questa può impedire a processi ordinari, compresi processi con privilegi SYSTEM, di leggere LSASS o inserirvi codice se non soddisfano i requisiti di protezione. Configurazione e cronologia d’installazione possono influire sulla sua attivazione.
Dalla scrittura di quattro byte all’esecuzione di codice
Il punto di partenza era una chiamata ripetuta alla funzione Initialize dopo l’inizializzazione: il percorso scriveva un valore di stato fisso di quattro byte attraverso un puntatore alla richiesta controllato dal chiamante. Doyensec ha combinato questa operazione con l’aggiramento di un controllo sui limiti di memoria e con una race condition, cioè una condizione in cui il risultato dipende dalla sequenza temporale delle operazioni su dati condivisi.
La catena sfruttava poi una race condition nella gestione di ClipboardInput e costruiva primitive di lettura e scrittura della memoria con vincoli. L’effetto finale, nella prova di laboratorio, era l’esecuzione di codice all’interno di SFAPE.dll.
Il sistema di prova e gli interventi di KB5124008
Doyensec ha condotto la prova su Windows 11 25H2, build 26200.8973, con SFAPE.dll 10.0.26100.8875 e vertdll.dll 10.0.26100.8972. Nel confronto con il componente corretto, la versione di SFAPE.dll indicata da Doyensec è 10.0.26100.9444.
Per l’aggiornamento KB5124008 Microsoft indica i build del sistema operativo 26100.9445 e 26200.9445. La pagina di supporto specifica che l’aggiornamento, datato 8 settembre 2026, si applica a tutte le edizioni di Windows 11 24H2 e 25H2. (Avviso Microsoft su KB5124008)
Doyensec attribuisce alla correzione tre interventi: controllo della richiesta prima della scrittura causata dalla reinizializzazione, verifiche e copia dei dati più rigorose per ClipboardInput e una policy di integrità del codice che rifiuta le vecchie immagini di SFAPE.dll.
Nel rapporto pubblicato il 13 ottobre, Doyensec ha inoltre segnalato che una vecchia enclave di Microsoft Edge collegata a CVE-2023-36880 risultava ancora caricabile nello stato delle policy esaminato. (Ricerca di Doyensec; avviso di Google Security Research su CVE-2023-36880)
