13 października 2026 r. Doyensec opisał laboratoryjne wykonanie kodu wewnątrz enklawy SFAPE używanej przez Enhanced Phishing Protection w Microsoft Defender SmartScreen. Sekwencja wymagała procesu działającego lokalnie, który potrafił załadować enklawę i wywołać jej funkcje. Doyensec wskazał jako poprawkę aktualizację KB5124008, wydaną przez Microsoft 8 września 2026 r. (badanie Doyensec; informacja Microsoftu o aktualizacji KB5124008)
Co badacze uruchomili w enklawie SFAPE
Enklawa SFAPE.dll obsługuje funkcję Enhanced Phishing Protection w Microsoft Defender SmartScreen. W widocznym przykładzie tej funkcji Windows Security ostrzega przed zapisaniem hasła w pliku otwartym w Notatniku.
Doyensec wykazał w laboratorium, że łańcuch błędów pozwalał uruchomić kod wybrany przez atakującego wewnątrz enklawy. Opisany wynik dotyczył wykonania kodu w SFAPE, a nie zdalnego przejęcia komputera: badacze wskazali, że potrzebny był lokalny proces zdolny załadować enklawę i ją wywołać.
Dlaczego sekwencja wymagała lokalnego procesu
Doyensec wskazuje, że SFAPM.dll działa jako pakiet LSA, a proces lsass.exe tworzy enklawę SFAPE i wywołuje jej funkcje. Sam dostęp do systemu nie wystarczał więc do odtworzenia opisanego łańcucha — proces musiał móc komunikować się z enklawą.
Ochrona LSA może ograniczać zwykłym procesom, także uruchomionym jako SYSTEM, odczyt danych z LSASS lub wstrzykiwanie do niego kodu, jeśli procesy nie spełniają wymagań ochrony. Doyensec zwraca uwagę, że to, czy ochrona jest włączona, może zależeć od konfiguracji i historii instalacji systemu.
Jak czterobajtowy zapis prowadził do wykonania kodu
Pierwszym elementem łańcucha był stały, czterobajtowy zapis wartości statusu, uruchamiany przez ponowne wywołanie funkcji Initialize po inicjalizacji enklawy. Wartość trafiała pod adres wskazany w żądaniu. Sam zapis nie dawał jednak dowolnej kontroli nad pamięcią.
Doyensec opisał, jak badacze połączyli go z obejściem sprawdzania zakresu wskaźnika i błędem synchronizacji przy obsłudze ClipboardInput. Taki wyścig typu TOCTOU zachodzi, gdy dane zmieniają się między ich sprawdzeniem a użyciem. W łańcuchu badaczy doprowadziło to do uzyskania ograniczonych możliwości odczytu i zapisu pamięci, a następnie do zmiany tabeli prawidłowych celów w enklawie i wykonania w niej kodu.
Środowisko testowe i poprawka KB5124008
Doyensec przeprowadził demonstrację na Windows 11 25H2, kompilacja 26200.8973. W badanym środowisku SFAPE.dll miała wersję 10.0.26100.8875, a vertdll.dll — 10.0.26100.8972. W porównaniu z poprawionym komponentem SFAPE.dll w wersji 10.0.26100.9444 badacze opisali trzy zmiany: sprawdzanie żądania przed zapisem przy ponownej inicjalizacji, dokładniejszą walidację i kopiowanie danych ClipboardInput oraz politykę VBS Code Integrity odrzucającą starsze obrazy SFAPE.
Microsoft podał, że aktualizacja zabezpieczeń KB5124008 z 8 września 2026 r. dotyczy wszystkich edycji Windows 11 24H2 i 25H2. W wykazie Microsoftu widnieją kompilacje systemu 26100.9445 i 26200.9445; są to numery kompilacji Windows, odrębne od wersji bibliotek DLL wymienionych przez Doyensec.
Doyensec podał, że zgłosił Microsoftowi początkowy błąd 7 sierpnia 2026 r., a 11 sierpnia poinformował o rozszerzeniu go do wykonania kodu w enklawie. Według firmy Microsoft potwierdził problem 21 września jako powielający wcześniej wykryty wewnętrznie błąd, a 25 września zaktualizowano poradnik, by uwzględnić Doyensec. Publiczne badanie ukazało się 13 października, po wydaniu KB5124008.
Osobna obserwacja dotycząca enklawy Microsoft Edge
Doyensec podał również, że starsza enklawa Microsoft Edge powiązana z CVE-2023-36880 pozostawała możliwa do załadowania w stanie polityki, który badacze analizowali. To odrębna obserwacja dotycząca starszej enklawy, nie element łańcucha opisanego dla SFAPE.
