Alguien ejecutó código dentro de la sala sellada donde Windows guarda su contraseña

Windows 11 guarda unos cuantos secretos en algo parecido a una sala sellada. Se llama enclave VBS, una porción de memoria aislada por el procesador de modo que ni siquiera un programa malicioso con permisos de administrador completos puede leer lo que hay dentro. Uno de esos enclaves contiene la copia con hash de su contraseña de Windows que Defender SmartScreen utiliza para la protección antiphishing mejorada, la función que avisa si escribe esa contraseña en una página web o la pega en el Bloc de notas.

El 13 de octubre, Adrian Denkiewicz, de la firma de seguridad Doyensec, publicó el relato completo de cómo consiguió ejecutar ahí dentro su propio código. El componente se llama SFAPE.dll, y la puerta de entrada era casi ridícula: llamar dos veces a su rutina de inicialización le permitió escribir cuatro bytes fijos en una dirección elegida por él. A partir de ese único apoyo construyó lecturas de memoria, luego escrituras, rompió la tabla de validación del propio enclave y acabó llamando a funciones arbitrarias dentro del área protegida. El enclave lo carga lsass.exe, que se ejecuta como SYSTEM, así que el premio era real.

Ahora la parte tranquilizadora. El fallo, CVE-2026-83498, se corrigió el 8 de septiembre en KB5124008. Microsoft también cambió la directiva de integridad de código para que Windows se niegue a cargar copias antiguas y vulnerables del archivo, cerrando el truco obvio de volver atrás. Nadie lo ha visto usado en un ataque real, y no es algo que le llegue desde internet. Hace falta código ya en ejecución en su PC para que nada de esto aplique.

Y ese es justamente el asunto. Una investigación así solo se vuelve peligrosa en equipos que dejaron de aceptar actualizaciones hace meses. La puntuación de salud de Tendvane señala un PC que se ha quedado atrás en silencio, que suele ser lo que nadie nota hasta que importa.