Уязвимость SignDrop позволяет локальному пользователю Windows повысить привилегии до SYSTEM — максимального системного уровня доступа. Проблема затрагивает некоторые установки Windows 11 26H2 и экспериментальной Windows Server 2025; для российских ИБ-команд это очередное напоминание: обычная пользовательская учётная запись на рабочей станции ещё не означает ограниченный ущерб.
О раскрытии уязвимости SignDrop сообщил исследователь под псевдонимом Nightmare Eclipse, сообщает Ars Technica. Эксплойт использует Common Log File System (CLFS) — штатный механизм журналирования Windows — и взаимодействие с Microsoft Defender. Речь не о заражении через браузер или документ: атакующему уже нужен локальный запуск кода с правами обычного пользователя.
Как защитный механизм становится частью атаки
Сценарий завязан на создании специально подготовленного контейнера CLFS. Затем злоумышленник побуждает привилегированный процесс, например Microsoft Defender, открыть этот файл через легитимную функцию обработки обновлений антивирусных сигнатур. Манипуляция символическими ссылками Windows Object Manager заставляет Defender работать с контейнером в контексте антивредоносного движка.
Если связанный файл аутентификации отсутствует, CLFS создаёт его с правами SYSTEM. При этом новый файл наследует список контроля доступа от исходного файла, которым управляет атакующий. В результате операция создания файла с максимальными привилегиями становится строительным блоком для повышения прав. Ирония здесь не декоративная: исследователь использует не отключённую защиту, а штатный защитный процесс Windows.
Корень проблемы связан с механизмом защиты CLFS, который Microsoft добавила в октябре 2025 года, чтобы осложнить эксплуатацию других ошибок в этой подсистеме. По описанию исследователя, отдельные компоненты делают именно то, что от них ожидают, но их сочетание допускает нежелательную цепочку действий. Это типичный неприятный класс уязвимостей: не один «сломанный» вызов, а корректные по отдельности операции, которые складываются в эскалацию привилегий.
Nightmare Eclipse также утверждает, что техника может помочь обойти механизмы самозащиты антивирусов и EDR: запрос на создание файла выглядит для драйвера защиты как действие собственного доверенного процесса. Это не означает, что любой защитный продукт автоматически отключается одним запуском SignDrop. Но для атакующих такая примитивная на вид точка входа особенно ценна: после локального доступа возможность получить SYSTEM нередко превращает инцидент из ограниченного в полноформатный.
Кого затрагивает и что проверить
Независимый исследователь Will Dormann подтвердил Ars Technica, что смог воспроизвести атаку, однако не на каждой версии Windows 11. По его данным, требуются Windows 26H2 и система, существующая более 90 дней: свежая установка с последними обновлениями не обязательно окажется уязвимой. В его парке машин подходящей оказалась только одна.
Практический индикатор — параметр HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Уязвимой может быть система со значением 0 или 1, то есть в режимах learning или enforcement. Версию ОС можно быстро проверить командой winver, но одного номера версии для вывода недостаточно: важны и возраст установки, и состояние CLFS. Масштаб затронутых устройств пока неясен, поскольку обновления Windows разворачиваются поэтапно.
Microsoft заявила, что изучает публикацию и не видит признаков эксплуатации проблемы в реальных атаках. Компания также утверждает, что Defender блокирует потенциальные попытки эксплуатации. Для администраторов это повод не полагаться на одно сообщение антивируса: стоит проверить, где в компании уже развёрнута 26H2, какие устройства имеют локальных пользователей с возможностью запускать код, и работают ли EDR-правила на подозрительные операции с CLFS и символическими ссылками.
Разработчикам корпоративного ПО здесь полезно вспомнить о старой истине Windows-безопасности: сервисы и агенты с высокими правами нельзя рассматривать как нейтральный фон. Если привилегированный процесс читает или создаёт файлы по пути, на который способен влиять непривилегированный пользователь, это уже поверхность атаки. Контроль ACL, безопасная обработка путей и отказ от доверия к объектам, созданным в пользовательском контексте, выглядят скучно ровно до первого SYSTEM shell.
SignDrop пока выглядит как узкая, но показательная проблема: защитные механизмы всё чаще становятся целью не вопреки своей архитектуре, а через неё. Главный вопрос теперь не только в том, насколько быстро Microsoft выпустит исправление, но и в том, найдут ли атакующие похожие цепочки в других доверенных процессах Windows. Технические детали и PoC опубликованы в материале .
