Segurança · 15 de novembro de 2026
Também publicado em Svenska
Falha zero-day SignDrop compromete proteção do Windows para obter privilégios de sistema
Uma nova vulnerabilidade de dia zero, chamada SignDrop, permite que atacantes obtenham privilégios de nível SYSTEM no Windows. A falha afeta o mecanismo de autenticação do Common Log File System, conhecido como CLFS.
O exploit foi publicado em 10 de novembro de 2026 pelo pesquisador Abdelhamid Naceri, também conhecido como Nightmare Eclipse. A vulnerabilidade reside no arquivo clfs.sys, que é o driver de núcleo do CLFS. O pesquisador testou a exploração em versões do Windows 11 26H2 e em compilações experimentais do Windows Server 2025.
O problema ocorre em uma proteção implementada pela Microsoft para evitar ataques contra o driver CLFS, introduzida em atualizações do Windows 11 25H2 e Windows Server 2025 a partir de outubro de 2025. Essa proteção utiliza códigos HMAC baseados em chaves do sistema para validar arquivos de log e cria arquivos .cnpf adjacentes. O SignDrop explora a lógica de criação desses arquivos .cnpf, embora a criptografia em si não seja questionada.
De acordo com o pesquisador, cerca de 80% das instalações do Windows estariam expostas. Ele sugere que a técnica poderia ser adaptada para outros softwares antivírus e ferramentas de detecção e resposta de endpoints, embora isso ainda precise de verificação. Pesquisadores da Cyderes confirmaram a funcionalidade da prova de conceito ao obterem um shell SYSTEM.
Até o momento, a Microsoft não confirmou a falha, não há referência CVE atribuída e nenhum patch de correção está disponível. A exposição do sistema depende do modo de autenticação do CLFS no Registro: as máquinas configuradas nos modos de aplicação ou de aprendizado estão no perímetro de risco do SignDrop.