Güvenlik Araştırmacıları Windows SmartScreen'in Korumalı Bellek Alanına Sızdı: Dört Baytlık Yazma ve Zamanlama Açığı

Güvenlik araştırmacıları, Windows'un geri kalanı ele geçirilmiş olsa bile kapalı kalması tasarlanan korumalı bir bellek bölgesinde kendi kodlarını çalıştırmayı başardı. Söz konusu alan, işletim sisteminin sırları saklamak için kullandığı yalıtılmış bir bellek dilimi olan VBS enklav; içine girilen enklavın ise Windows'un kimlik avı önleme özelliğine ait parolaları yönettiği ortaya çıktı. Doyensec adlı güvenlik firmasının yürüttüğü bu çalışma laboratuvar ortamında kavram kanıtı olarak gerçekleştirildi, gerçek saldırılarda görülmedi ve Microsoft açığı 8 Eylül 2026 tarihli güncellemesiyle kapattı.

CVE-2026-83498: Açığın Teknik Kimliği ve Microsoft'un Değerlendirmesi

Açık CVE-2026-83498 koduyla takip ediliyor. Microsoft bunu bir ayrıcalık yükseltme sorunu olarak sınıflandırıyor, önem derecesini Kritik olarak belirliyor ve CVSS puanını 7,8 olarak açıklıyor. Microsoft ayrıca açığın yama yayımlanmadan önce ne istismar edildiğini ne de kamuoyuna duyurulduğunu belirtiyor; şirketin aynı sorunu kendi bünyesinde de tespit ettiği aktarılıyor. Doyensec'in araştırması, yamanın yayımlanmasından bir ayı aşkın süre sonra, 13 Ekim'de kamuoyuyla paylaşıldı.

VBS Enklavı Nedir ve Neden Önemlidir?

VBS enklav, normal bir Windows programının yükleyebildiği ancak çalışmaya başladıktan sonra okuyamadığı ya da değiştiremediği imzalı bir kütüphanedir. Windows hiper yöneticisi, enklavın belleğini VTL1 ya da Yalıtılmış Kullanıcı Modu olarak adlandırılan ve normal dünyadaki sıradan kodun, yani VTL0'ın erişemediği daha güvenilir bir dünyada tutar. Bu tasarım, bir saldırgan normal çekirdeği ele geçirmiş ya da SYSTEM olarak çalışıyor olsa bile içeriği korumayı amaçlar. Araştırmacıların bu dünyada saldırgan seçimli kod çalıştırabilmesi, çalışmayı öne çıkaran asıl noktadır.

Doyensec'in hedef aldığı enklavın SFAPE.dll olduğu belirlendi; bu bileşen, Microsoft Defender SmartScreen'deki Gelişmiş Kimlik Avı Koruması'nın arkasında çalışıyor. Bu özellik, yazdığınız ya da yapıştırdığınız metni izleyerek Windows oturum açma parolanızı Not Defteri veya bir kimlik avı sayfası gibi güvenli olmayan bir yere girmeniz durumunda sizi uyarıyor. Parolayı ifşa etmemek için Windows onu oturum açma sırasında yakalıyor ve sonraki girişlerle karşılaştırılabilmesi amacıyla karma biçimde enklavın içinde saklıyor. Windows 11 sistemlerde bu enklav, oturum açma kimlik bilgilerini yöneten ve SYSTEM olarak çalışan lsass.exe işlemi tarafından yükleniyor.

Saldırı Nasıl Kurgulandı: Dört Baytlık Yazma ve Zamanlama Hatası

Saldırı uzaktan çalışmıyor. Makinede zaten çalışmakta olan ve enklava yükleme ile çağrı yapabilen bir programa ihtiyaç duyuyor; SFAPE için bu program LSASS. Microsoft'un kendi derecelendirmesi de aynı noktayı vurguluyor: Saldırı vektörü yerel, saldırganın düşük düzeyli erişime ihtiyacı var ve kullanıcıdan herhangi bir yardım gerekmiyor. Kısacası bu, dışarıdan içeriye giriş yolu değil; zaten tutunmuş bir kodun yanındaki daha güvenilir dünyaya uzanma yöntemi.

Doyensec saldırıyı küçük bir hatadan başlatarak adım adım genişletti. Enklavın Initialize işlevini ikinci kez çağırmak, enklavın çağıran programın denetlediği bir adrese sabit dört baytlık bir hata değeri yazmasına yol açıyor ve bu sefer ilk çağrının gerçekleştirdiği adres denetimi atlanıyor. Doyensec bu tek başına zayıf bir yetenek olduğunu açıkça belirtiyor ve bunu keyfi yazma olarak nitelendirmenin büyük bir abartı olacağını yazıyor. Ancak doğru noktaya yönlendirildiğinde, bu tek yazma işlemi enklavın kendi belleğini ana belleğinden ayırt etmek için kullandığı değeri bozuyor ve güvenlik denetimi çalışmayı durduruyor.

Buradan itibaren başka bir işlevdeki zamanlama hatası denetimli bir silme işlemini tetikliyor. Bu silme işlemi enklavın saklı bir nesneyi arama biçimini yeniden yönlendiriyor; ortaya çıkan okuma ve yazma işlemleri araştırmacıların enklavın hangi kodları çalıştırabileceğine karar veren tabloyu değiştirmesine olanak tanıyor. Sonuç, enklavın içinde araştırmacı seçimli kodun çalışması oluyor. Çalışma enklavın yalıtımını kırdı; bir kullanıcının parolasının okunduğunu ya da çalındığını göstermedi. Microsoft'un danışma belgesi etkiyi enklavdan veri sızıntısı veya enklavın içinde kod çalıştırma olarak tanımlıyor.

Microsoft'un Yaması: KB5124008 ve Yeni Engelleme Politikası

Microsoft açığı 8 Eylül 2026 tarihli KB5124008 toplu güncellemesiyle Windows 11 sürümleri 24H2 ve 25H2 için kapattı. Doyensec eski ve yeni dosyaları karşılaştırdı; yamalı enklavın artık ilk yazma işleminden önce adresi denetlediğini ve zamanlama hatasının dayandığı işlevi sıkılaştırdığını tespit etti. Güncelleme aynı zamanda eski, savunmasız enklavın hiç yüklenmesini engelleyen yeni bir politika da içeriyor; dolayısıyla yamalı bir sistem onu çalıştıramıyor. Ayrı bir geçici çözüm uygulamak gerekmiyor; yapılması gereken tek şey güncellemeyi yüklemek.

Geride Kalan Boşluk: Savunmasız Enklavlar İçin Genel Engelleme Listesi Yok

Bu yamadan sonra geride kalan bir açık var. Windows'un savunmasız sürücüler için tuttuğuna benzer genel bir savunmasız enklavlar engelleme listesi bulunmuyor ve Eylül politikası yalnızca eski SFAPE dosyasını engelliyor. Doyensec, 2023 yılından kalma CVE-2023-36880 koduyla takip edilen benzer okuma-yazma açığına sahip eski bir Microsoft Edge enklavının hâlâ yüklenebilir durumda olduğunu bildiriyor. Bunun bilinçli bir tercih mi yoksa bir gözden kaçırma mı olduğu belirsizliğini koruyor.

Bu durum önem taşıyor; çünkü imzalı ama kusurlu bir enklavı yüklemek, kimi zaman "kendi savunmasız enklavını getir" olarak adlandırılan ve Akamai ile Outflank'in önceki araştırmalarının güvenlik araçlarından kod ve veri gizlemek için kullandığı bilinen bir teknik. Bir kusurlu enklavı engellerken diğerini yüklenebilir bırakmak, bu tekniği kullanılabilir kılmaya devam ediyor.

Sıkça Sorulan Sorular

CVE-2026-83498 açığı ne zaman ve kim tarafından keşfedildi?

Açığı Doyensec adlı güvenlik firması keşfetti. Microsoft 8 Eylül 2026 tarihli güncellemesiyle yamayı yayımladı; Doyensec araştırmasını yamadan bir ayı aşkın süre sonra, 13 Ekim'de kamuoyuyla paylaştı. Microsoft aynı sorunu kendi bünyesinde de tespit ettiğini belirtiyor.

Bu saldırı gerçek dünyada kullanıldı mı, uzaktan gerçekleştirilebilir mi?

Hayır. Çalışma yalnızca laboratuvar ortamında kavram kanıtı olarak yürütüldü ve gerçek saldırılarda görülmedi. Saldırı ayrıca uzaktan çalışmıyor; makinede zaten çalışan ve hedef enklava yükleme ile çağrı yapabilen bir programa ihtiyaç duyuyor. Microsoft'un derecelendirmesine göre saldırı vektörü yerel ve düşük düzeyli erişim gerekiyor.

Araştırmacılar saldırıyı nasıl gerçekleştirdi?

Doyensec, Initialize işlevini ikinci kez çağırarak dört baytlık sabit bir hata değeri yazdı ve adres denetimini atladı. Bu yazma enklavın bellek ayrımını bozdu, ardından başka bir işlevdeki zamanlama hatası denetimli bir silme işlemi tetikledi. Silme işlemi nesne arama yöntemini yeniden yönlendirdi ve araştırmacılar nihayetinde enklavın kod çalıştırma tablosunu değiştirerek kendi seçtikleri kodu enklavın içinde çalıştırmayı başardı.

Kullanıcıların parolası çalındı mı?

Hayır. Araştırma enklavın yalıtımını kırdı; ancak bir kullanıcının parolasının okunduğunu ya da çalındığını göstermedi. Microsoft'un danışma belgesi etkiyi enklavdan veri sızıntısı veya enklavın içinde kod çalıştırma olarak tanımlıyor.

Yamayı uygulamak için ne yapılması gerekiyor ve geride kalan risk var mı?

Yapılması gereken tek şey 8 Eylül 2026 tarihli KB5124008 toplu güncellemesini Windows 11 24H2 veya 25H2 sürümüne yüklemek; ayrı bir geçici çözüm bulunmuyor. Ancak Windows'un savunmasız enklavlar için genel bir engelleme listesi yok. Doyensec, CVE-2023-36880 koduyla bilinen benzer açığa sahip eski bir Microsoft Edge enklavının hâlâ yüklenebilir olduğunu belirtiyor ve bu durum "kendi savunmasız enklavını getir" tekniğini kullanılabilir kılmaya devam ediyor.