Nova vulnerabilidade de dia zero no Windows permite privilégios de sistema

person using laptop computers — Jefferson Santos / Unsplash

O pesquisador de segurança Abdelhamid Naceri divulgou um novo exploit de dia zero para Windows, chamado SignDrop, que permite que invasores obtenham privilégios de sistema.

A falha ocorre na maneira como o driver do Sistema de Arquivos de Log Comum processa a criação do arquivo de autenticação ao gerar um novo arquivo de log. Embora as verificações de acesso sejam aplicadas corretamente no início, a lógica pode ser abusada se um processo privilegiado abrir o arquivo de log posteriormente.

O exploit utiliza mitigações introduzidas pela Microsoft em outubro de 2025 para combater ataques de autenticação no driver do Sistema de Arquivos de Log Comum. Naceri afirmou que a própria mitigação da Microsoft introduziu esta nova vulnerabilidade. Processos privilegiados, como o Windows Defender, podem ser forçados a abrir os arquivos, resultando na criação do arquivo de autenticação com privilégios de sistema e as permissões de acesso do arquivo original.

Esta técnica pode ser usada para contornar a autodefesa ou a proteção contra violações de qualquer mecanismo de antimalware. Isso acontece porque a solicitação de criação de arquivo parece originar-se do próprio processo legítimo do mecanismo, permitindo a desativação de qualquer antivírus ou sistema de detecção e resposta de endpoint.

O pesquisador estima que 80% das instalações do Windows sejam vulneráveis. O exploit foi testado no Windows 11 26H2, Windows 11 26H2 Experimental e Windows Server 2025 Experimental. Para verificar a vulnerabilidade, recomenda-se a execução de um exploit de prova de conceito ou a verificação do valor de registro no modo de autenticação do Sistema de Arquivos de Log Comum: se o valor for 0 ou 1, o computador está vulnerável.

Atualmente, não existe solução além de aguardar uma correção da Microsoft, pois desativar a mitigação do Sistema de Arquivos de Log Comum exporia os dispositivos a ataques de corrupção de memória. A Microsoft já corrigiu algumas falhas divulgadas por Naceri desde o início do ano, mas outros bugs de dia zero ainda não possuem correção oficial.