Laboratório demonstra execução de código em enclave SFAPE do Windows (CVE-2026-83498) e adesivo

Pesquisadores da assinatura Doyensec demonstraram em laboratório que é possível executar código escolhido por um atacante dentro de uma porção de memória do Windows que deveria permanecer selado mesmo quando o resto do sistema foi comprometido. O componente afetado é uma livraria VBS (Virtualization-Based Security) usada pela função Enhanced Phishing Protection da Microsoft Defender SmartScreen — concretamente a enclave SFAPE.dll— e a Microsoft corrige a vulnerabilidade no adesivo cumulativo publicado em 8 de setembro de 2026 (KB5124008). A falha figura como CVE-2026-83498, foi classificada pela Microsoft como "elevação de privilégios" com severidade Crítica (CVSS 7.8) e, segundo a empresa, não havia sido explorada em ambientes reais nem era público antes do arranjo; a Microsoft também detectou o mesmo problema internamente.

Do ponto de vista técnico, a arquitetura VBS isola livrarias assinadas – as enclaves – dentro de um mundo de maior confiança gerido pelo hipervisor do Windows (VTL1 ou Isolated User Mode). Um processo do sistema no mundo ordinário (VTL0), como LSASS.exe (que gere credenciais e corre como SYSTEM), pode carregar a enclave mas não ler nem modificar sua memória. O propósito é proteger segredos críticos (por exemplo, hashes de senha para proteção anti-phishing) mesmo quando um atacante tenha conseguido privilégios no kernel ou SYSTEM.

O que os pesquisadores conseguiram não foi uma porta de entrada remota, mas uma escalada desde dentro: A exploração requer que já exista código local com acesso baixo nível à equipe e a possibilidade de invocar a enclave carregada por LSASS. Doyensec documenta uma cadeia de erros encadeados: uma segunda chamada à função Initialize provoca que a enclave escreva um valor de erro fixo de quatro bytes em uma direção controlada pelo processo chamado; essa segunda chamada omite uma verificação que sim faz a primeira invocação. Por si só essa escrita é limitada, mas se afeta o dado que a enclave utiliza para distinguir sua própria memória da do host, as verificações de segurança deixam de funcionar. A partir daí, um bug de sincronização (timing) em outra função permite forçar uma remoção controlada que redirige uma busca interna, o que deriva em leituras e escrituras que permitem substituir a tabela de funções que decide qual código pode executar a enclave. O resultado final descrito por Doyensec é a execução de código escolhido pelo atacante dentro da enclave.

É importante separar fatos confirmados de extrapolações: está demonstrado em laboratório que a enclave vulnerável pode ser manipulada para executar código arbitrário, e a Microsoft e o Doyensec concordam que a mitigação corrige esses vetores. Não há evidência pública de exploração em ambientes reais ou roubo comprovado de palavras-passe a partir desta falha; a Microsoft define o impacto como possível filtragem de dados ou execução de código dentro da enclave. A pesquisa de Doyensec também não afirma ter recuperado hashes de senhas de usuários em equipes reais - isso permanece sem confirmar - mas o controle da enclave abre esse risco teórico se combinado com outras condições de ataque.

A Microsoft publicou a correção em sua atualização cumulativa para Windows 11 (versões 24H2 e 25H2) de 8 de setembro de 2026 e, segundo Doyensec, o arquivo adesivo adiciona a verificação de endereço anterior ao primeiro write e endurece a função afetada pela condição de carreira. Além disso, a atualização instala uma política que impede de carregar a versão antiga e vulnerável do SFAPE.dll, de forma que sistemas atualizados não executam a enclave insegura. Não existe um procedimento alternativo separado: a ação recomendada para todos os usuários é instalar a atualização correspondente.

É, no entanto, uma lacuna na estratégia de mitigação geral: O Windows não dispõe de uma lista de bloqueio global para enclaves vulneráveis, análoga à que mantém para drivers. A mitigação aplicada em setembro bloqueia apenas a versão afetada do SFAPE.dll; Doyensec adverte que outras enclaves assinadas com falhas conhecidas podem continuar sendo carregadas - por exemplo, uma enclave da Microsoft Edge com CVE-2023-36880 que tinha uma vulnerabilidade de leitura/escrita continua sendo, segundo Doyensec, permitida. Essa diferença pode deixar aberta a tática conhecida como "bring your own vulnerável enclave", na qual um atacante carrega deliberadamente uma enclave assinada mas defeituosa para ocultar código ou dados frente a ferramentas de segurança, uma técnica debatida em trabalhos anteriores da indústria.

Quem afeta isto? Em termos práticos, o risco maior está para ambientes onde um atacante pode executar código com privilégios baixos a meios na máquina alvo — por exemplo, através de um exploit local, um serviço mal configurado ou acesso físico — e onde LSASS ou outro processo privilegiado carregue a enclave vulnerável. Equipamentos isolados e sistemas sem contas locais expostos têm menos probabilidade de serem objetivos, mas em organizações com usuários que alcançam elevação local com relativa facilidade (por phishings posteriores, más configurações RDP, ou software que permita execução de código), o vetor é relevante.

Recomendações concretas e verificáveis: primeiro e acima de tudo, instalar a atualização KB5124008 ou aplique as políticas do Windows Update que sua organização use; essa é a única medida oferecida pela Microsoft para mitigar esse defeito. Verifique o estado de atualização em servidores e endpoints que executem Windows 11 24H2/25H2 e priorize máquinas com contas administrativas ou com serviços que carregam enclaves. Para ambientes empresariais, integre o adesivo no seu ciclo de gestão de adesivos e confirme a presença da política que bloqueia a versão antiga do SFAPE.dll.

Mais medidas defensivas que reduzem a probabilidade e o impacto deste tipo de ataques incluem limitar o acesso local privilegiado, desativar serviços desnecessários que permitam execução de código, aplicar o princípio de menor privilégio, e implantar soluções EDR que monitorizem cargas e chamadas a processos sensíveis como LSASS. Activar e manter mitigações do Virtualization‐Based Security (Credential Guard, HVCI) atualizadas e usar controles de aplicação (application allowlisting) ajudam a reduzir a superfície de ataque. Para equipes críticas, audite as enclaves carregadas e contraste assinaturas e versões com as fontes oficiais após o adesivo.

Finalmente, convém seguir duas frentes: por um lado, confirmar a instalação do adesivo em todos os endpoints e servidores; por outro, pressionar os fabricantes para implementarem um mecanismo de bloqueio centralizado para enclaves assinados defeituosas, como existe para drivers, de modo que técnicas de "bring your own vulnerável enclave" não sigam disponíveis. Para documentação técnica sobre o VBS e o isolamento fornecidos pelas enclaves, a Microsoft mantém material em seu portal de documentação: https://learn.microsoft.com/en-us/windows/security/virtualization-based-security/. A pesquisa de Doyensec é publicada pela assinatura e pode ser consultada no seu site como referência à metodologia e análise: https://doyensec.com/.

Em síntese: o achado demonstra que, mesmo em camadas desenhadas para confinar segredos frente a um kernel comprometido, erros lógicos e de sincronização podem permitir ao atacante escalar sua presença e esconder código dentro desse nível confiável. A mitigação existe e deve ser aplicada com urgência; a discussão aberta é como prevenir que outras enclaves assinadas e vulneráveis sejam disponíveis para explorações semelhantes no futuro.