Хтось запустив свій код у запечатаній кімнаті, де Windows тримає ваш пароль

Windows 11 тримає кілька секретів у чомусь на кшталт запечатаної кімнати. Це називається анклавом VBS: шматок пам'яті, відгороджений процесором так, що навіть шкідлива програма з повними правами адміністратора не прочитає його вміст. Один із таких анклавів зберігає хешовану копію вашого пароля Windows, яку Defender SmartScreen використовує для розширеного захисту від фішингу, тобто для функції, що подає голос, коли ви вводите цей пароль на вебсторінці або вставляєте його в Блокнот.

13 жовтня Адріан Денкевич із компанії з безпеки Doyensec опублікував повну розповідь про те, як запустив там власний код. Компонент називається SFAPE.dll, а вхід виявився майже кумедно малим: дворазовий виклик процедури ініціалізації дозволив записати чотири фіксовані байти за адресою на власний вибір. З цієї єдиної опори він побудував читання пам'яті, потім запис, зламав таблицю перевірки самого анклаву і зрештою викликав довільні функції всередині захищеної зони. Анклав завантажує lsass.exe, який працює від імені SYSTEM, тож ставка була цілком реальною.

Тепер заспокійлива частина. Ваду CVE-2026-83498 виправили 8 вересня в KB5124008. Microsoft також змінила політику цілісності коду, щоб Windows відмовлялася завантажувати старіші вразливі копії файлу, закривши очевидний трюк із відкотом версії. У справжніх атаках цього не бачили, і воно не дістається до вас просто з інтернету. Перш ніж бодай щось із цього спрацює, на вашому ПК вже має виконуватися чужий код.

У цьому і полягає суть. Такі дослідження стають небезпечними лише на машинах, які припинили приймати оновлення кілька місяців тому. Оцінка стану в Tendvane показує ПК, що тихо відстав, а цього зазвичай ніхто не помічає, доки воно не почне мати значення.