Eksperci z firmy Doyensec odkryli krytyczną podatność w mechanizmie VBS (Virtualization-Based Security), która pozwala na przełamanie izolacji enklawy SFAPE.dll. Enklawa ta jest częścią funkcji Microsoft Defender SmartScreen, odpowiedzialnej za ochronę haseł przed phishingiem. Atak polega na wykorzystaniu błędu w funkcji inicjalizacji, który umożliwia zapis czterech bajtów pod kontrolowany adres, oraz błędu typu timing bug, co ostatecznie pozwala na podmianę tabeli decydującej o wykonywanym kodzie.
Podatność CVE-2026-83498 ma charakter lokalny i wymaga, aby napastnik posiadał już uprawnienia na systemie (np. w procesie lsass.exe). Nie jest to metoda na zdalne włamanie, lecz sposób na eskalację uprawnień i ucieczkę z ograniczonego środowiska do bardziej zaufanego poziomu VTL1. Dzięki temu atakujący może uruchomić własny kod w obszarze, który powinien pozostać całkowicie odizolowany nawet w przypadku przejęcia jądra systemu.
Microsoft wydał już poprawkę eliminującą ten problem w aktualizacji skumulowanej z 8 września 2026 roku (KB5124008) dla Windows 11 w wersjach 24H2 i 25H2. Poprawka wprowadza dodatkowe sprawdzanie adresów oraz nową politykę, która uniemożliwia ładowanie starej, podatnej wersji enklawy. Badacze zwrócili jednak uwagę, że system wciąż pozwala na ładowanie innych, starszych i podatnych enklaw, co może umożliwić techniki typu „bring your own vulnerable enclave”.
