Op 13 oktober 2026 publiceerde Doyensec een beschrijving van een labdemonstratie waarbij onderzoekers code uitvoerden in de SFAPE-enclave van Microsoft Defender SmartScreen. De keten vereiste een lokaal proces dat de enclave kon laden en aanroepen. Doyensec wijst Microsoft-update KB5124008, uitgebracht op 8 september 2026, aan als de oplossing voor Windows 11 24H2 en 25H2.
De enclave achter Enhanced Phishing Protection
Enhanced Phishing Protection is onderdeel van Microsoft Defender SmartScreen, dat bescherming biedt tegen phishing en schadelijke websites en downloads. De functie waarschuwt ook wanneer een wachtwoord in een onveilige app wordt opgeslagen, zoals in een tekstbestand. Microsoft beschrijft de werking van SmartScreen.
De kwetsbaarheid, CVE-2026-83498, zat in SFAPE.dll: de VBS-enclave die Enhanced Phishing Protection gebruikt. Een VBS-enclave is een geïsoleerde omgeving waarin code kan worden uitgevoerd. Doyensec beschreef de kwetsbaarheid en de labdemonstratie.
Wat de onderzoekers in het lab bereikten
Doyensec liet zien dat de combinatie van fouten code-uitvoering binnen de enclave mogelijk maakte. De eerste stap was een vaste schrijfoperatie van vier bytes: na de initialisatie kon een tweede aanroep van de functie Initialize een statuswaarde naar een adres schrijven dat via een aanvraag werd aangeleverd. Die beperkte schrijfoperatie was op zichzelf geen onbeperkte willekeurige schrijfmogelijkheid.
De onderzoekers combineerden de fout met een omzeiling van een controle op geheugenbereiken en een timingprobleem bij ClipboardInput. Zo bouwden ze beperkte lees- en schrijfmogelijkheden op die uiteindelijk code-uitvoering binnen de enclave mogelijk maakten. Het resultaat was code-uitvoering in SFAPE; Doyensec beschreef geen diefstal van wachtwoorden.
Waarom de keten lokale toegang vereiste
De beschreven aanval begon met code die al lokaal draaide en SFAPE kon laden en aanroepen. Doyensec beschrijft daarmee geen aanval die rechtstreeks vanaf internet begint. De enclave wordt via SFAPM.dll aangeroepen vanuit lsass.exe, een Windows-proces.
LSA-beveiliging kan gewone processen, ook processen met SYSTEM-rechten, beperken in hun toegang tot LSASS. Of die bescherming actief is, hangt mede af van de configuratie en installatiegeschiedenis van Windows. De lokale toegangseis maakt de beschreven keten dus afhankelijk van een proces dat aan de beveiligingsvoorwaarden voor toegang tot de enclave voldoet.
De geteste versies en de wijziging in KB5124008
Doyensec gebruikte voor de demonstratie Windows 11 25H2, build 26200.8973. De gebruikte versies waren SFAPE.dll 10.0.26100.8875 en vertdll.dll 10.0.26100.8972. In de vergelijking met de bijgewerkte component noemt Doyensec SFAPE.dll 10.0.26100.9444.
Microsoft publiceerde KB5124008 op 8 september 2026 voor alle edities van Windows 11 24H2 en 25H2. De updatepagina noemt Windows-builds 26100.9445 en 26200.9445; dat zijn besturingssysteem-builds, terwijl 10.0.26100.9444 het versienummer van SFAPE.dll is. Microsofts updatebericht voor KB5124008 vermeldt de versies waarop de update van toepassing is.
Volgens Doyensec controleert de bijgewerkte SFAPE-code de aanvraag voordat de herhaalde initialisatie de schrijfoperatie uitvoert. Ook is de afhandeling van ClipboardInput aangescherpt om de gedemonstreerde timingfout tegen te gaan. Een bijgewerkt VBS Code Integrity-beleid weigert bovendien oudere SFAPE-bestanden.
Doyensec zegt dat het de eerste fout op 7 augustus 2026 bij Microsofts Security Response Center meldde en op 11 augustus rapporteerde dat de foutketen code-uitvoering in de testomgeving mogelijk maakte. Microsoft bracht KB5124008 uit op 8 september; Doyensec publiceerde de technische beschrijving op 13 oktober.
Doyensec meldt ook een oudere Microsoft Edge-enclave
Los van CVE-2026-83498 meldde Doyensec dat een oudere Microsoft Edge-enclave die verband houdt met CVE-2023-36880 laadbaar bleef binnen het beleidskader dat de onderzoekers onderzochten. Die melding betreft een andere enclave dan SFAPE.
