--- title: Une nouvelle faille zero-day SignDrop permet l'élévation de privilèges SYSTEM sous Windows url: https://www.dataloco.com/fr/une-nouvelle-faille-zero-day-signdrop-permet-lelevation-de-privileges-system-sous-windows published: 2026-11-15T10:22:52+00:00 language: fr section: Sécurité source: https://www.bleepingcomputer.com/news/security/new-windows-signdrop-zero-day-gives-hackers-system-privileges/ organizations: Microsoft, Windows, Windows Defender, BitLocker publisher: Dataloco --- # Une nouvelle faille zero-day SignDrop permet l'élévation de privilèges SYSTEM sous Windows Le chercheur en sécurité Abdelhamid Naceri, également connu sous le pseudonyme Nightmare Eclipse, a publié une nouvelle faille zero-day pour Windows qui permet aux attaquants d'obtenir des privilèges SYSTEM. Cette vulnérabilité, baptisée SignDrop, exploite les atténuations introduites par Microsoft en octobre 2025 pour se défendre contre les attaques d'authentification ciblant les vulnérabilités du pilote Common Log File System (CLFS). Selon Naceri, les attaques exploitant les vulnérabilités du CLFS ont fortement diminué après la mise en place de cette atténuation, mais la mesure de sécurité elle-même a introduit cette nouvelle faille. La faille réside dans la manière dont le CLFS gère la création du fichier d'authentification (".cnpf") lors de la création d'un nouveau fichier journal. Le chercheur explique que le CLFS applique correctement les contrôles d'accès au départ, mais que la logique peut être détournée si un autre processus privilégié ouvre ensuite le fichier journal. Des processus privilégiés tels que Windows Defender peuvent être forcés d'ouvrir ces fichiers, ce qui entraîne la création du fichier d'authentification avec des privilèges SYSTEM. Le CLFS le crée alors avec les permissions d'accès du fichier d'origine. Naceri souligne que Microsoft a correctement implémenté l'atténuation, mais que "la logique permet un abus". La technique fonctionne contre l'autodéfense (protection contre les modifications) de tout moteur antimalware, car la demande de création de fichier semble provenir du processus légitime du moteur lui-même. Le chercheur note qu'il est ironique que cette atténuation de sécurité légitime puisse être utilisée contre elle-même pour permettre une élévation de privilèges. Il précise que ce qui rend la situation plus surprenante est le fait qu'elle puisse être utilisée contre n'importe quel moteur antimalware pour contourner leur mécanisme d'autodéfense. En déclenchant une création de fichier arbitraire dans le contexte de leur propre processus antimalware, la demande semble provenir de leur propre processus légitime aux yeux de leurs pilotes noyau, ce qui la fait passer. Cette particularité rend la vulnérabilité unique, car elle peut être utilisée pour désactiver n'importe quel antivirus ou EDR. Bien que SignDrop ne puisse pas être utilisé contre toutes les machines Windows, Naceri a testé l'exploit sur Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental. Il estime que 80 % des installations Windows sont vulnérables. Le chercheur recommande d'exécuter l'exploit de preuve de concept (PoC) pour vérifier si un appareil Windows est vulnérable aux attaques SignDrop ou pour vérifier le mode d'authentification du CLFS sous la valeur de registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Si l'exploit PoC génère une coquille SYSTEM, la machine est vulnérable. De plus, si la valeur du registre est 0 ou 1 (mode d'apprentissage ou mode de renforcement), l'ordinateur est vulnérable. Naceri ajoute qu'il n'y a actuellement aucune solution autre que d'attendre un correctif de Microsoft, car la désactivation de l'atténuation du CLFS exposerait les appareils à des attaques exploitant des vulnérabilités de corruption de mémoire. Le chercheur, qui se dit ancien employé de Microsoft, a divulgué une longue liste d'autres failles zero-day dans Microsoft Defender, BitLocker et d'autres composants Windows depuis avril, notamment BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma et UnDefend. Il y a cinq ans, Naceri a publié plusieurs exploits zero-day permettant l'élévation de privilèges sur diverses versions de Windows. Après que Naceri a divulgué publiquement les zero-days sans tenter de les signaler en privé au préalable, Microsoft a mis en garde contre des poursuites judiciaires contre quiconque s'engage dans une "activité malveillante causant un préjudice réel" aux clients de l'entreprise, ce qui a conduit de nombreux membres de la communauté de l'infosec à considérer les actions de l'entreprise comme une menace directe pour le chercheur en sécurité. Bien que Microsoft ait corrigé certaines des failles de sécurité divulguées par Naceri depuis le début de l'année (notamment les failles ShieldBreak, RoguePlanet, YellowKey, GreenPlasma et MiniPlasma), les autres bugs zero-day n'ont toujours pas de correctif officiel. ## This story in other languages - [中文](https://www.dataloco.com/zh/windows-signdrop) - [한국어](https://www.dataloco.com/ko/windows-signdrop) - [Türkçe](https://www.dataloco.com/tr/yeni-windows-sifir-gunu-acigi-saldirganlara-sistem-yetkisi-veriyor) - [Русский](https://www.dataloco.com/ru/obnaruzena-novaia-uiazvimost-nulevogo-dnia-signdrop-v-windows-pozvoliaiushhaia-polucit-privilegii-system) - [Deutsch](https://www.dataloco.com/de/neuer-windows-signdrop-zero-day-ermoglicht-system-berechtigungen) - [Español](https://www.dataloco.com/es/un-nuevo-exploit-de-dia-cero-en-windows-permite-obtener-privilegios-de-sistema) - [Italiano](https://www.dataloco.com/it/nuova-vulnerabilita-zero-day-signdrop-nel-sistema-operativo-windows-consente-lescalation-dei-privilegi) - [Svenska](https://www.dataloco.com/sv/ny-zero-day-i-windows-ger-angripare-system-behorigheter) - [עברית](https://www.dataloco.com/he/windows-2) - [हिन्दी](https://www.dataloco.com/hi/naya-windows-signdrop-jara-da-hamalvara-ka-system-vashashhathhakara-tha-sakata-ha) - [Indonesia](https://www.dataloco.com/id/eksploitasi-zero-day-signdrop-pada-windows-berikan-hak-istimewa-system-kepada-peretas) - [Nederlands](https://www.dataloco.com/nl/nieuwe-windows-kwetsbaarheid-signdrop-biedt-aanvallers-systeemrechten) - [Norsk](https://www.dataloco.com/no/ny-null-dags-sarbarhet-i-windows-gir-angripere-system-rettigheter) - [Polski](https://www.dataloco.com/pl/nowy-blad-zero-day-signdrop-w-systemie-windows-umozliwia-przejecie-uprawnien-system) - [العربية](https://www.dataloco.com/ar/thghr-signdrop-algdyd-fy-ntham-oyndoz-tmnh-alkrasn-slahyat-system) - [ไทย](https://www.dataloco.com/th/story-119)