Windows爆出SignDrop零日提权漏洞

微软11月安全更新发布的同一天，研究员Abdelhamid Naceri（网名MSNightmare）在GitHub公开了一个名为SignDrop的Windows零日漏洞及可用的概念验证代码：低权限本地用户可借此获得Windows最高权限SYSTEM。

漏洞的讽刺之处在于，它针对的正是微软2025年10月为堵住CLFS驱动一连串历史漏洞而添加的日志认证防护。攻击链会诱导Windows Defender通过签名更新接口打开攻击者准备好的日志文件，再利用对象管理器符号链接重定向认证伴随文件的创建位置——于是系统以SYSTEM权限在攻击者指定的地方创建了文件，最终链成SYSTEM shell。研究员的原话是：「微软每一步都做对了，但逻辑允许滥用。」

影响面方面，Windows 11 25H2、26H1和Windows Server 2025上启用了CLFS认证防护的机器都在范围内；注册表CLFS Authentication的Mode值为0或1即处于攻击面内，而装机超过90天的系统通常会自动进入强制模式。研究员据此估计约80％的Windows安装受影响，这一数字尚未获得独立核实。

韩国安全公司78researchlab的团队已独立复现并确认漏洞有效，但同时指出它还不够可靠：运行时每个UAC弹窗都会多开一个SYSTEM shell，动静很大；且发布链条要求Defender处于开启状态。

研究员还声称同一手法可绕过任何杀毒引擎的自保护机制、关闭任意EDR，该说法尚未被独立验证。微软目前未确认漏洞、未分配CVE编号，11月更新也未包含修复，暂无在野利用报告。

CLFS一直是Windows提权攻击的重灾区，CISA已知被利用漏洞目录中收录了10个CLFS漏洞，其中2025年4月的一个曾被勒索软件团伙用于实战。Naceri自4月以来连续公开多个Windows与Defender漏洞，此前ShieldBreak等已被微软修复，其中三个曾被发现在真实攻击中利用。

编译自 Ars Technica，原标题："Windows 0-day dropped by disgruntled researcher hands hackers System rights"