Em pesquisa publicada em 13 de outubro de 2026, a Doyensec relatou uma demonstração em laboratório que executou código dentro da enclave SFAPE, usada pela proteção aprimorada contra phishing do Microsoft Defender SmartScreen. A cadeia exigia um processo local capaz de carregar e chamar a enclave. A Doyensec identifica a atualização KB5124008, lançada pela Microsoft em 8 de setembro, como correção para o Windows 11 24H2 e 25H2. A pesquisa técnica da Doyensec descreve o teste e as mudanças aplicadas; a página da Microsoft informa o escopo da atualização.
O que a falha atingiu
A CVE-2026-83498 afetou a SFAPE.dll, enclave VBS ligada à proteção aprimorada contra phishing do Microsoft Defender SmartScreen. O SmartScreen ajuda a proteger contra sites de phishing e downloads potencialmente maliciosos, enquanto esse recurso também pode alertar sobre senhas digitadas em aplicativos. A documentação da Microsoft descreve as funções do SmartScreen.
O resultado relatado pela Doyensec foi a execução de código dentro da enclave SFAPE. O ponto importa: a pesquisa descreve uma cadeia com um processo local capaz de carregar e chamar a enclave, não um caminho de entrada pela internet.
Como a cadeia chegou à execução de código
A falha inicial ocorria quando a função Initialize era chamada novamente depois da inicialização. Segundo a Doyensec, essa chamada gravava um valor de status fixo de quatro bytes por meio de um ponteiro para uma solicitação controlado pelo chamador. A equipe ressalta que essa escrita fixa, por si só, não equivalia a uma escrita arbitrária irrestrita.
Os pesquisadores encadearam essa falha a um desvio na verificação de limites e a uma condição de corrida dependente do tempo no tratamento de ClipboardInput. A combinação permitiu construir capacidades limitadas de leitura e escrita na memória e, por fim, executar código dentro da enclave.
A cadeia passava por SFAPM.dll, componente carregado pelo lsass.exe, que cria e chama a enclave SFAPE. A Doyensec observa que a proteção da LSA pode restringir a leitura ou a injeção de código no LSASS por processos comuns, inclusive processos SYSTEM, conforme os requisitos de proteção. A configuração do Windows e o histórico de instalação podem influenciar se essa proteção está ativada.
O ambiente testado e a correção
A demonstração da Doyensec usou o Windows 11 25H2, build 26200.8973. No ambiente, a SFAPE.dll vulnerável era a versão 10.0.26100.8875, e a vertdll.dll era a versão 10.0.26100.8972. A equipe comparou a primeira com a SFAPE.dll corrigida, versão 10.0.26100.9444.
A Doyensec atribui a correção à KB5124008, publicada em 8 de setembro de 2026. A atualização se aplica a todas as edições do Windows 11 24H2 e 25H2; a Microsoft lista os builds do sistema operacional 26100.9445 e 26200.9445. Esses números identificam builds do Windows, enquanto 10.0.26100.9444 é a versão de um componente DLL.
Na análise da Doyensec, o código corrigido valida a solicitação antes da escrita provocada pela chamada repetida de Initialize, reforça o tratamento de ClipboardInput para impedir a condição de corrida demonstrada e inclui uma política que rejeita imagens antigas da SFAPE. A equipe afirma que comunicou a falha inicial à Microsoft em 7 de agosto de 2026 e informou, em 11 de agosto, que havia ampliado a cadeia até a execução de código na enclave. A Microsoft lançou a KB5124008 em 8 de setembro; a Doyensec publicou sua análise técnica em 13 de outubro.
A observação separada sobre o Microsoft Edge
Na pesquisa publicada em 13 de outubro, a Doyensec também relatou que uma enclave antiga do Microsoft Edge, associada à CVE-2023-36880, continuava carregável sob a política examinada pela equipe. É uma observação distinta sobre essa enclave; a falha do SmartScreen discutida aqui é a CVE-2026-83498.
