Может, ещё как может. Стандарты защиты таковы, что системный код разбивают на две части: ядро + системная библиотека. В Windows это ntoskrnl + *.dll, причём системная библиотека грузится в адресное пространство программы. Т.к. системные библиотеки у всех общие, то системные библиотеки грузятся в разделяемую память, общую для всех программ, доступную программам только для чтения. Ядро в теории вообще не должно быть доступно, т.к. SYSCALL позволяет вынести его в недоступное адресное пространство, но обычно его ложат вместе с системными библиотеками.

А вот теперь карнавал!

Зная адреса, можно передать управление напрямую в системный код. Обычно, это бесполезно, т.к. кольца защиты надёжно режут права и ничего серьёзного выполнить не получится, а при первой же ошибке ОС закроет программу. Но в ряде случаев удаётся "пошалить". Так Windows 95 (и не только он) не защищал дескрипторы памяти, и можно было перезаписать дескриптор памяти, сделать любой системный вызов, а по возвращению стать программой 0-ого кольца. Сейчас таких дыр больше не допускают, но принцип остаётся.