Windows SmartScreenの保護領域を突破する脆弱性が判明、修正パッチが公開

要点

• セキュリティ企業Doyensecが、Windowsの隔離環境「VBSエンクレーブ」内で任意コードを実行できる脆弱性を報告した。

• Defender SmartScreenの「SFAPE.dll」に存在したアドレス検証の不備とタイミングバグが悪用された。

• 脆弱性「CVE-2026-83498」の深刻度はCritical（CVSS 7.8）だが、攻撃にはローカル環境での高権限が必要とされる。

• Microsoftは2026年9月の月例更新「KB5124008」ですでに修正しており、実際の悪用やパスワード流出は確認されていない。

• 脆弱な古いエンクレーブ全般を遮断する包括的なブロックリストは依然として未整備であることが指摘されている。

• セキュリティ企業のDoyensecは2026年10月13日、Windowsの機密保護機構「VBSエンクレーブ」内で任意のコードを実行させる実証実験に成功したと発表した。標的となったのはMicrosoft Defender SmartScreenのパスワード保護機能であり、OSの管理者権限が奪われても安全なはずの隔離領域が無効化された形だ。Microsoftはこの脆弱性を「CVE-2026-83498」として特定し、報告公開前の2026年9月8日の更新プログラムですでに修正を完了している。

機密を守る「VBSエンクレーブ」とSmartScreenの役割

VBS（仮想化ベースのセキュリティ）エンクレーブとは、OSが秘密情報を守るため通常環境から隔離して運用するメモリ領域である。通常プログラムが動作する世界（VTL0）に対し、ハイパーバイザーが管理する高信頼な領域「VTL1（隔離ユーザーモード）」に置かれ、カーネルを掌握されSYSTEM権限を奪われた状態でも保護を維持する設計となっている。

今回標的となったのは、Defender SmartScreenの拡張フィッシング保護を担う「SFAPE.dll」だ。同機能はユーザー入力を監視し、サインインパスワードがメモ帳や不正サイトに入力された際に警告する仕組みである。パスワードの漏洩を防ぐため、Windowsはログイン時にパスワードをハッシュ化してエンクレーブ内に保管し照合を行っている。Windows 11ではSYSTEM権限で動作する「lsass.exe」がこのエンクレーブを読み込み呼び出す。

4バイト書き込みとタイミングバグによる多段階攻撃

Doyensecの研究チームは、単体では軽微な不具合を連鎖させて隔離境界を突破した。

発端となったのは、初期化関数「Initialize」を2回呼び出すとアドレス検証が省略され、呼び出し側の指定アドレスに固定の4バイトのエラー値が書き込まれる欠陥だ。研究チームはこの動作自体を任意書き込みと呼ぶのは過大としつつも、特定のメモリ番地を狙うことで、エンクレーブ自身とホストのメモリを区別する値が破損し、安全性チェックが無効化されたと説明している。

さらに別の関数のタイミングバグを突いてメモリ消去を起こし、保持オブジェクトの参照先を変更した。これにより得たメモリ読み書き能力でコード管理テーブルを置き換え、任意のコードをエンクレーブ内で実行させたという。

攻撃の前提条件と実際の影響

本攻撃はリモートから直接仕掛けられるものではない。実行には対象マシン上でエンクレーブを呼び出すLSASSなどのプロセスを掌握しているか、ローカル環境での低レベルなアクセス権限が必要となる。外部からの侵入手段ではなく、すでに侵入したコードが、より高い信頼階層へ越境するための手法である。

Microsoftの評価でも攻撃経路は「ローカル」とされ、深刻度はCritical、CVSSスコアは7.8となっている。影響は「データ漏洩やコード実行」とされるが、今回の成果は実験室での概念実証（PoC）であり、実際の悪用事例は確認されていない。また隔離の突破には成功したものの、保管されていたパスワードが読み取られた事実は示されていない。なお、Microsoft側も内部調査で同一の問題を把握していたとしている。

更新プログラムによる対処と残された構造的課題

Microsoftは2026年9月8日のWindows 11（バージョン24H2および25H2）向け累積更新プログラム「KB5124008」で本脆弱性を修正した。パッチでは初期書き込み前のアドレス検証が追加され、タイミングバグの要因となった関数も改修された。さらに脆弱な古いエンクレーブの読み込みを阻止するポリシーも同梱されており、更新プログラムの適用が推奨される。

一方でDoyensecは、脆弱なエンクレーブ全般を遮断する仕組みがWindowsに存在しない点に懸念を示している。今回のポリシーは古いSFAPE.dllのみを遮断するに留まり、2023年に同様の欠陥が報告された古いMicrosoft Edgeのエンクレーブ（CVE-2023-36880）などは現在も読み込み可能だという。脆弱な正規エンクレーブを持ち込む攻撃への対策が今後の課題として指摘されている。