Un fallo de escritura de cuatro bytes y de sincronización permite a los investigadores ejecutar código en el enclave SmartScreen de Windows.

Investigadores de seguridad ejecutaron su propio código dentro de una parte protegida de Windows, diseñada para permanecer sellada incluso cuando el resto del equipo es comprometido.

El área protegida es un enclave VBS, una porción aislada de memoria que el sistema operativo utiliza para proteger información confidencial. La zona a la que accedieron gestiona las contraseñas de una función antiphishing de Windows.

El trabajo se realizó en un laboratorio como prueba de concepto, no se ha detectado en ataques reales y Microsoft corrigió la vulnerabilidad en su actualización del 8 de septiembre de 2026.

La vulnerabilidad se identifica como CVE-2026-83498. Microsoft la clasifica como un problema de elevación de privilegios crítico, con una puntuación CVSS de 7.8, y afirma que no ha sido explotada ni era de conocimiento público antes de la corrección. Microsoft también indica que detectó el mismo problema internamente. La investigación, realizada por la empresa de seguridad Doyensec, se publicó el 13 de octubre, más de un mes después del parche.

Un enclave VBS es una biblioteca firmada que un programa normal de Windows carga, pero que no puede leer ni modificar una vez en ejecución. El hipervisor de Windows mantiene la memoria del enclave en un entorno más seguro, denominado VTL1 o Modo de Usuario Aislado, al que el código ordinario en el entorno normal, VTL0, no puede acceder, según Microsoft.

El diseño busca proteger el contenido incluso si un atacante ya ha tomado el control del kernel o se ejecuta como SYSTEM. La ejecución de código elegido por el atacante dentro de ese entorno es lo que hace que esta investigación sea relevante.

El enclave atacado por Doyensec es SFAPE.dll, el componente de la Protección Mejorada contra Phishing en Microsoft Defender SmartScreen. Esta función monitoriza el texto que escribes o pegas y te advierte si introduces tu contraseña de inicio de sesión de Windows en un lugar inseguro, como el Bloc de notas o una página de phishing.

Para lograr esto sin exponer la contraseña, Windows la intercepta al iniciar sesión y la almacena cifrada dentro del enclave, de modo que las entradas posteriores se puedan comparar con ella. En un sistema Windows 11, el programa que carga este enclave es lsass.exe, el proceso que gestiona las credenciales de inicio de sesión y se ejecuta como SYSTEM.

El ataque no funciona de forma remota. Requiere que un programa que ya se esté ejecutando en la máquina cargue y llame al enclave; para SFAPE, ese programa es LSASS. La propia clasificación de Microsoft lo confirma: el vector de ataque es local y el atacante necesita acceso de bajo nivel y ninguna ayuda del usuario. En resumen, esta es una forma para que un código que ya tiene acceso se posicione en el entorno más seguro, no una entrada desde fuera.

Doyensec desarrolló el ataque a partir de un pequeño error y lo fue ampliando paso a paso. Llamar a la función Initialize del enclave por segunda vez hace que escriba un valor de error fijo de cuatro bytes en una dirección controlada por el programa que realiza la llamada, y esta vez omite la comprobación de dirección que realiza la primera llamada.