Säkerhet · 15 november 2026
Ny zero-day-sårbarhet kringgår Windows-skydd och ger SYSTEM-rättigheter
En ny zero-day-sårbarhet som kallas SignDrop utnyttjar en säkerhetsmekanism i Windows för att bevilja angripare lokala privilegiehöjningar till SYSTEM-nivå. Sårbarheten, som offentliggjordes den 10 november 2026, riktar sig mot autentiseringslogiken i Common Log File System, ett underystem för loggning som används av både applikationer och kärnkomponenter i operativsystemet. Forskaren bakom upptäckten har publicerat en fungerande bevisföring som demonstrerar hur skyddet kan vändas till att bli en attackvektor.
Sårbarheten har identifierats av säkerhetsforskaren Abdelhamid Naceri, även känd under aliaset Nightmare Eclipse. Han har tidigare arbetat för Microsoft men har sedan april 2026 publicerat flera exploateringskoder mot operativsystemet i samband med en pågående konflikt med sin tidigare arbetsgivare. Den senaste publiceringen, SignDrop, följer på en tidigare zero-day som kallades BigDiskBuster vilken hindrade uppdateringar av Microsoft Defender. I detta fall ligger felet i kärndrivrutinen clfs.sys där sekvensen av operationer vid skapandet av en specifik konfigurationsfil möjliggör missbruk trots att den underliggande kryptografin fungerar korrekt.
Microsoft implementerade den aktuella skyddsmekanismen för att förhindra tidigare typer av privilegiehöjningar mot Common Log File System. Skyddet, som introducerades med uppdateringar för Windows 11 version 25H2 och Windows Server 2025 från och med den 28 oktober 2025, kräver att varje loggfil förses med en HMAC-kod beräknad från en systemspecifik nyckel. En tillhörande fil med ändelsen .cnpf skapas med samma säkerhetsattribut som loggfilen. Det är just processen för skapandet av denna .cnpf-fil som SignDrop utnyttjar för att kringgå kontrollerna och erhålla högre rättigheter utan att bryta den kryptografiska verifieringen.
Forskaren uppger att exploateringen har testats framgångsrikt på Windows 11 version 26H2 samt på experimentella byggen av Windows Server 2025. Enligt forskarens uppskattning kan cirka 80 procent av alla Windows-installationer vara exponerade för denna metod. Dessutom antyds det att tekniken potentiellt skulle kunna anpassas för att attackera andra antiviruslösningar och system för detektering och respons på slutpunkter, även om detta fortfarande behöver verifieras oberoende. Säkerhetsföretaget Cyderes har bekräftat att bevisföringen fungerar i praktiken genom att kompilera och köra koden, vilket resulterade i att de erhöll ett kommandoskal med SYSTEM-rättigheter.
Ingen officiell CVE-identifierare har tilldelats sårbarheten vid tidpunkten för rapporteringen och Microsoft har varken bekräftat felet eller släppt någon korrigering. Användare som vill undersöka om deras system är sårbara uppmanas att kontrollera värdet för registernyckeln Mode som styr autentiseringsläget för Common Log File System. Ett värde på 0 indikerar applikationsläge och ett värde på 1 indikerar inlärningsläge, vilka båda placerar maskinen inom räckhåll för SignDrop-attacken. Ett värde på 2 motsvarar en administratörsstyrd avaktivering av skyddet.
Experter avråder från att manuellt inaktivera skyddsmekanismen i väntan på en officiell lösning. Att stänga av autentiseringen skulle visserligen blockera den nya attackvektorn men samtidigt återöppna äldre, välkända sårbarheter i Common Log File System som redan utnyttjats av olika grupper som sprider utpressningsprogram. Att ta bort det nya skyddet skulle alltså byta en okänd risk mot en känd och dokumenterad säkerhetsbrist som angripare redan har verktyg för att utnyttja.