Doyensec ha scoperto una falla critica nelle enclave VBS di Windows, mentre Microsoft ha rilasciato patch per tre nuove vulnerabilità di BitLocker. Ecco cosa significa per gli amministratori e gli utenti.
Un team di ricercatori della società di sicurezza Doyensec ha recentemente svelato una vulnerabilità di alto profilo che colpisce l’architettura di sicurezza di Windows, nello specifico le VBS (Virtualization‑Based Security) enclave. La falla, tracciata come CVE‑2026‑83498, permette a un attaccante che abbia già ottenuto un accesso locale al sistema di superare le barriere di isolamento della memoria, eseguendo codice malevolo all’interno di un ambiente che dovrebbe essere inaccessibile anche per il kernel del sistema operativo.
Le enclave VBS rappresentano un pilastro della difesa moderna di Windows. Si tratta di aree di memoria isolate, gestite dall’hypervisor, che operano in un livello di fiducia superiore (VTL1) rispetto al resto del sistema (VTL0). Anche se un utente malintenzionato riuscisse a compromettere il kernel o ad acquisire privilegi di sistema (SYSTEM), l’enclave dovrebbe rimanere un caveau inespugnabile. La vulnerabilità scoperta da Doyensec ha preso di mira SFAPE.dll, il componente responsabile della protezione avanzata contro il phishing in Microsoft Defender SmartScreen. Questo modulo gestisce dati sensibili, come gli hash delle password, per avvisare l’utente se sta inserendo credenziali in siti non sicuri.
L’attacco non è di tipo remoto, ma richiede che l’aggressore abbia già un punto d’appoggio sulla macchina target. Sfruttando una sequenza di errori logici, i ricercatori sono riusciti a manipolare il comportamento dell’enclave. Inizialmente, una chiamata impropria alla funzione di inizializzazione permette una scrittura di quattro byte in un indirizzo di memoria controllato dall’attaccante, bypassando i controlli di sicurezza standard. Attraverso questa manipolazione, il sistema di protezione dell’enclave viene corrotto. Successivamente, un timing bug (una vulnerabilità legata alla gestione dei tempi di esecuzione) consente di reindirizzare le operazioni di lettura e scrittura, permettendo infine di sostituire la tabella che definisce quale codice l’enclave è autorizzata a eseguire. In sostanza, l’attaccante riesce a iniettare ed eseguire il proprio codice all’interno dello spazio protetto.
Microsoft ha risposto tempestivamente rilasciando una patch il 8 settembre 2026, inclusa nell’aggiornamento cumulativo KB5124008 per Windows 11. La correzione agisce in due modi: aggiunge controlli rigorosi sugli indirizzi di memoria e implementa una nuova policy che impedisce il caricamento della versione vulnerabile dell’enclave. Nonostante la risoluzione del problema specifico, i ricercatori di Doyensec hanno sollevato una questione critica: Windows manca di una blocklist centralizzata per le enclave vulnerabili, a differenza di quanto avviene per i driver di sistema. Ciò significa che, sebbene la falla in SFAPE sia stata chiusa, altre enclave firmate digitalmente ma vulnerabili (come una vecchia versione legata a Microsoft Edge) potrebbero ancora essere caricate, facilitando tecniche di attacco note come bring your own vulnerable enclave.
Oltre alla questione VBS, Microsoft ha pubblicato un advisory che elenca tre nuove vulnerabilità di BitLocker (CVE‑2026‑85920, CVE‑2026‑88070 e CVE‑2026‑83500) con potenziali impatti di elevata gravità. Queste falle, tutte classificate come Important, possono consentire a un aggressore con accesso locale o fisico di elevare i propri privilegi o bypassare le protezioni di BitLocker.
Al momento non sono disponibili dettagli su versioni specifiche di Windows colpite, pacchetti di aggiornamento necessari o eventuali workaround. Microsoft raccomanda di verificare le proprie configurazioni con i relativi advisories e di applicare gli aggiornamenti pubblicati.
La scoperta di CVE‑2026‑83498 e l’analisi delle nuove vulnerabilità di BitLocker evidenziano la complessità di mantenere l’integrità dei confini di sicurezza in sistemi operativi moderni e stratificati. Sebbene non vi siano prove di sfruttamento attivo di queste falle in scenari reali, la loro presenza sottolinea l’importanza di un approccio proattivo alla sicurezza: aggiornamenti regolari, monitoraggio continuo e una cultura di sicurezza ben radicata all’interno delle organizzazioni.
Gli amministratori di sistema e gli utenti dovrebbero rimanere vigili, verificare le proprie configurazioni con le ultime patch di Microsoft e considerare l’adozione di soluzioni di sicurezza avanzate che offrano visibilità e controllo sulle enclave e sulle chiavi di cifratura. In un panorama in cui le minacce evolvono costantemente, la prevenzione resta la prima linea di difesa.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
