Qualcuno ha eseguito codice dentro la stanza sigillata in cui Windows tiene la vostra password

Windows 11 tiene alcuni segreti in quella che somiglia a una stanza sigillata. Si chiama enclave VBS, una porzione di memoria isolata dal processore in modo che nemmeno un malware con pieni diritti di amministratore possa leggerne il contenuto. Una di queste enclave contiene la copia con hash della vostra password di Windows che Defender SmartScreen usa per la protezione anti phishing avanzata, la funzione che interviene se digitate quella password in una pagina web o la incollate nel Blocco note.

Il 13 ottobre Adrian Denkiewicz, della società di sicurezza Doyensec, ha pubblicato il racconto completo di come ci abbia fatto girare dentro codice proprio. Il componente si chiama SFAPE.dll, e la via d'ingresso era quasi comica: chiamare due volte la sua routine di inizializzazione gli ha permesso di scrivere quattro byte fissi a un indirizzo scelto da lui. Da quel solo appiglio ha costruito letture di memoria, poi scritture, ha rotto la tabella di validazione dell'enclave stessa e ha finito per chiamare funzioni arbitrarie all'interno dell'area protetta. L'enclave viene caricata da lsass.exe, che gira come SYSTEM, quindi la posta in gioco era reale.

Ora la parte rassicurante. La falla, CVE-2026-83498, è stata corretta l'8 settembre con KB5124008. Microsoft ha anche modificato i criteri di integrità del codice perché Windows rifiuti di caricare le vecchie copie vulnerabili del file, chiudendo il trucco ovvio di tornare indietro di versione. Nessuno l'ha vista usare in un attacco reale, e non è qualcosa che vi raggiunge da internet. Perché tutto questo si applichi, serve codice già in esecuzione sul vostro PC.

Ed è proprio questo il punto. Ricerche come questa diventano pericolose solo sulle macchine che hanno smesso di accettare aggiornamenti mesi fa. Il punteggio di salute di Tendvane segnala un PC rimasto indietro in silenzio, che di solito è la cosa che nessuno nota finché non conta davvero.