SandIA (Buenos Aires, 14 de octubre de 2026).- Investigadores de la firma de seguridad Doyensec ejecutaron código propio dentro de un enclave VBS de Windows, un área de memoria protegida que el sistema operativo usa para resguardar secretos. El fallo, publicado el 13 de octubre, fue corregido por Microsoft en la actualización acumulativa del 8 de septiembre de 2026, según publicó The Hacker News.
Qué es un enclave VBS y por qué importa
Un enclave VBS es una biblioteca firmada que un programa común de Windows carga pero no puede leer ni modificar una vez en ejecución. El hipervisor de Windows mantiene la memoria del enclave en un mundo más confiable, llamado VTL1 o Isolated User Mode, al que el código ordinario del mundo normal, VTL0, no puede acceder, de acuerdo con Microsoft. El diseño busca proteger lo que está adentro incluso si un atacante ya tomó el kernel o corre como SYSTEM.
El componente atacado: SFAPE.dll
El enclave que atacó Doyensec es SFAPE.dll, el componente detrás de Enhanced Phishing Protection en Microsoft Defender SmartScreen. Esa función vigila el texto que el usuario escribe o pega y advierte si introduce su contraseña de inicio de sesión de Windows en un lugar inseguro, como el Bloc de notas o una página de phishing. Para hacerlo sin exponer la contraseña, Windows la intercepta en el inicio de sesión y la guarda en forma hasheada dentro del enclave.
Cómo se construyó el ataque
Doyensec partió de un error pequeño y lo amplió paso a paso. Llamar por segunda vez a la función Initialize del enclave hace que escriba un valor de error fijo de cuatro bytes en una dirección que controla el programa llamador, y esta vez omite la verificación de dirección que sí hace la primera llamada. La firma aclara que eso solo es débil y que llamarlo escritura arbitraria \"sería una gran exageración\".
Dirigida al lugar correcto, esa escritura corrompe el valor que el enclave usa para distinguir su propia memoria de la del host, y su control de seguridad deja de funcionar. Desde ahí, un fallo de temporización en otra función dispara un borrado controlado. Ese borrado redirige la forma en que el enclave busca un objeto almacenado, y la lectura y escritura resultantes permiten reemplazar la tabla que decide qué código puede ejecutar. El resultado es código elegido por el atacante corriendo dentro del enclave.
Alcance real y la brecha que persiste
El ataque no funciona a distancia: necesita un programa ya en ejecución que cargue y llame al enclave y, para SFAPE, ese programa es LSASS. Microsoft calificó el fallo como CVE-2026-83498, elevación de privilegios, criticidad Critical, con CVSS 7.8, y dijo que no fue explotado ni conocido públicamente antes del parche. El trabajo rompió el aislamiento del enclave, pero no mostró que se leyera o robaran contraseñas de usuarios.
La corrección llegó en la actualización acumulativa KB5124008 para Windows 11 versiones 24H2 y 25H2. Según Doyensec, el enclave parcheado ahora verifica la dirección antes de esa primera escritura y ajusta la función en la que se apoyaba el fallo de temporización. La actualización también incluye una política que impide cargar el enclave viejo y vulnerable. Queda una brecha: Windows no tiene una lista general de bloqueo para enclaves vulnerables como la que mantiene para controladores, y un enclave antiguo de Microsoft Edge con un fallo similar, CVE-2023-36880 de 2023, todavía puede cargarse, según Doyensec.