Sicurezza · 15 novembre 2026
Nuova vulnerabilità zero-day SignDrop nel sistema operativo Windows consente l'escalation dei privilegi
Il ricercatore di sicurezza Abdelhamid Naceri, noto anche come Nightmare Eclipse, ha pubblicato un exploit zero-day per Windows denominato SignDrop. Questa vulnerabilità permette agli aggressori di ottenere i privilegi di sistema, un livello di accesso che consente il controllo completo sul dispositivo. L'exploit sfrutta una logica difettosa introdotta dalle mitigazioni di sicurezza implementate da Microsoft nel mese di ottobre 2025 per proteggere il driver del Common Log File System, abbreviato in CLFS, da attacchi di autenticazione.
Secondo quanto riportato dal ricercatore, la vulnerabilità risiede nel modo in cui il driver gestisce la creazione del file di autenticazione, identificato dall'estensione .cnpf, durante la generazione di un nuovo file di registro. Sebbene il controllo degli accessi venga eseguito correttamente all'inizio, la logica può essere manipolata se un processo privilegiato apre successivamente il file di registro. Processi come Windows Defender possono essere costretti ad aprire questi file, il che porta alla creazione del file di autenticazione con i privilegi di sistema e con le autorizzazioni di accesso originali del file.
Naceri ha sottolineato che la mitigazione di Microsoft è stata implementata in modo corretto, ma la logica sottostante consente l'abuso. Questa tecnica funziona contro la protezione contro le manomissioni di qualsiasi motore antimalware, poiché la richiesta di creazione del file sembra provenire dal processo legittimo del motore stesso. Il ricercatore ha dichiarato che, se la catena di exploit è configurata correttamente, la mitigazione di sicurezza può essere utilizzata contro se stessa per elevare i privilegi. Inoltre, la vulnerabilità è unica perché può essere sfruttata per disattivare qualsiasi antivirus o sistema di rilevamento e risposta alle minacce, poiché la creazione del file avviene nel contesto del processo antimalware stesso.
L'exploit non è utilizzabile su tutte le macchine Windows, ma il ricercatore lo ha testato su Windows 11 versione 26H2, Windows 11 versione 26H2 sperimentale e Windows Server 2025 sperimentale. Si stima che l'ottanta per cento delle installazioni di Windows sia vulnerabile. Per verificare la vulnerabilità, Naceri consiglia di eseguire l'exploit di concetto dimostrativo o di controllare il valore di registro relativo alla modalità di autenticazione del CLFS. Se il valore di registro è zero o uno, il computer è considerato vulnerabile.
Attualmente non esiste una soluzione, se non attendere una patch da parte di Microsoft, poiché disattivare la mitigazione del CLFS esporrebbe i dispositivi ad altri attacchi. Naceri, che afferma di essere un ex dipendente di Microsoft, ha divulgato diverse altre vulnerabilità zero-day in componenti di Windows e Microsoft Defender da aprile, tra cui BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. Microsoft ha corretto alcune di queste vulnerabilità, ma altre restano senza patch ufficiale.