---
title: Ny null-dags-sårbarhet i Windows gir angripere SYSTEM-rettigheter
url: https://www.dataloco.com/no/ny-null-dags-sarbarhet-i-windows-gir-angripere-system-rettigheter
published: 2026-11-15T10:26:11+00:00
language: no
section: Sikkerhet
source: https://www.bleepingcomputer.com/news/security/new-windows-signdrop-zero-day-gives-hackers-system-privileges/
organizations: Microsoft, Windows Defender, CLFS
publisher: Dataloco
---

# Ny null-dags-sårbarhet i Windows gir angripere SYSTEM-rettigheter

Sikkerhetsforskeren Abdelhamid Naceri, også kjent under kallenavnet Nightmare Eclipse, har offentliggjort en ny null-dags-utnyttelse kalt SignDrop som lar angripere oppnå SYSTEM-rettigheter på sårbare Windows-systemer. Denne feilen utnytter en logisk brist i måten Common Log File System-driveren håndterer autentiseringsfiler på, til tross for at Microsoft tidligere innførte tiltak for å styrke sikkerheten.

Den nye sårbarheten oppstår som en direkte følge av sikkerhetstiltak Microsoft implementerte i oktober 2025 for å forsvare seg mot autentiseringsangrep rettet mot svakheter i CLFS-driveren. Naceri påpeker at angrep som utnyttet tidligere CLFS-svakheter falt kraftig etter denne mitigasjonen, men at selve beskyttelsesmekanismen introduserte denne nye feilen. Feilen ligger i hvordan systemet oppretter autentiseringsfilen med filtypen .cnpf når en ny loggfil lages. Selv om tilgangskontroller håndheves korrekt ved starten, kan logikken misbrukes hvis en annen prosess med høye rettigheter senere åpner loggfilen.

Angripere kan tvinge privilegerte prosesser, som for eksempel Windows Defender, til å åpne filene. Dette fører til at autentiseringsfilen blir opprettet med SYSTEM-rettigheter, mens CLFS tildeler den de samme tilgangsrettighetene som den opprinnelige filen hadde. Naceri understreker at Microsoft implementerte mitigasjonen korrekt, men at den underliggende logikken tillater misbruk. Teknikken fungerer mot selvbeskyttelsesmekanismer, ofte kalt tamper protection, i alle typer antimalware-motorer. Siden filopprettelsesforespørselen ser ut til å komme fra motorens egen legitime prosess, godkjennes den av kjerne-drivere, noe som gjør det mulig å deaktivere antivirusprogrammer og EDR-løsninger.

Selv om SignDrop ikke kan brukes mot alle Windows-maskiner, estimerer forskeren at 80 prosent av alle Windows-installasjoner er sårbare. Uttesting har blitt utført på Windows 11 versjon 26H2, den eksperimentelle utgaven av Windows 11 26H2, samt den eksperimentelle versjonen av Windows Server 2025. For å avgjøre om en enhet er sårbar, anbefales det å kjøre en proof-of-concept-utnyttelse eller å sjekke registerverdien under nøkkelen HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Hvis proof-of-concept-verktøyet starter et SYSTEM-skall, eller hvis registerverdien er satt til 0 eller 1, som tilsvarer læringsmodus eller håndhevingsmodus, er datamaskinen utsatt for angrep.

Per i dag finnes det ingen løsning annet enn å vente på en sikkerhetsoppdatering fra Microsoft. Å deaktivere CLFS-mitigasjonen frarådes sterkt, da dette vil eksponere enhetene for angrep som utnytter sårbarheter knyttet til minnekorrupsjon. Naceri, som oppgir å være en tidligere ansatt i Microsoft, har siden april offentliggjort en lang rekke andre null-dags-feil i komponenter som Microsoft Defender og BitLocker. Tidligere har han også lansert flere utnyttelser som muliggjorde rettighetsutvidelse på ulike Windows-versjoner. Etter at forskeren offentliggjorde disse feilene uten først å rapportere dem privat, advarte Microsoft om juridiske tiltak mot enhver som engasjerer seg i ondsinnet aktivitet som forårsaker virkelig skade for kundene deres. Mens noen av de tidligere avdekkede feilene nå er rettet, mangler flere av null-dags-sårbarhetene fortsatt en offisiell oppdatering.

## This story in other languages

- [中文](https://www.dataloco.com/zh/windows-signdrop)
- [한국어](https://www.dataloco.com/ko/windows-signdrop)
- [Türkçe](https://www.dataloco.com/tr/yeni-windows-sifir-gunu-acigi-saldirganlara-sistem-yetkisi-veriyor)
- [Русский](https://www.dataloco.com/ru/obnaruzena-novaia-uiazvimost-nulevogo-dnia-signdrop-v-windows-pozvoliaiushhaia-polucit-privilegii-system)
- [Deutsch](https://www.dataloco.com/de/neuer-windows-signdrop-zero-day-ermoglicht-system-berechtigungen)
- [Español](https://www.dataloco.com/es/un-nuevo-exploit-de-dia-cero-en-windows-permite-obtener-privilegios-de-sistema)
- [Italiano](https://www.dataloco.com/it/nuova-vulnerabilita-zero-day-signdrop-nel-sistema-operativo-windows-consente-lescalation-dei-privilegi)
- [Svenska](https://www.dataloco.com/sv/ny-zero-day-i-windows-ger-angripare-system-behorigheter)
- [עברית](https://www.dataloco.com/he/windows-2)
- [हिन्दी](https://www.dataloco.com/hi/naya-windows-signdrop-jara-da-hamalvara-ka-system-vashashhathhakara-tha-sakata-ha)
- [Indonesia](https://www.dataloco.com/id/eksploitasi-zero-day-signdrop-pada-windows-berikan-hak-istimewa-system-kepada-peretas)
- [Français](https://www.dataloco.com/fr/une-nouvelle-faille-zero-day-signdrop-permet-lelevation-de-privileges-system-sous-windows)
- [Nederlands](https://www.dataloco.com/nl/nieuwe-windows-kwetsbaarheid-signdrop-biedt-aanvallers-systeemrechten)
- [Polski](https://www.dataloco.com/pl/nowy-blad-zero-day-signdrop-w-systemie-windows-umozliwia-przejecie-uprawnien-system)
- [العربية](https://www.dataloco.com/ar/thghr-signdrop-algdyd-fy-ntham-oyndoz-tmnh-alkrasn-slahyat-system)
- [ไทย](https://www.dataloco.com/th/story-119)