El investigador de seguridad Abdelhamid Naceri, también conocido como Nightmare Eclipse, ha publicado una nueva vulnerabilidad de día cero en el sistema operativo Windows conocida como SignDrop, la cual permite a los atacantes obtener privilegios completos de SYSTEM mediante la explotación del mecanismo de protección que Microsoft añadió en octubre de 2025 para combatir los ataques de autenticación dirigidos al controlador Common Log File System, o CLFS por sus siglas.
El investigador explicó que la vulnerabilidad reside en la forma en que el programa CLFS procesa la creación del archivo de autenticación que lleva la extensión .cnpf al crear un nuevo archivo de registro. Si bien el sistema realiza correctamente la verificación de los permisos de acceso al principio, la lógica puede ser mal utilizada si otro proceso privilegiado abre el archivo de registro más tarde, lo que lleva a procesos privilegiados como Windows Defender a abrir archivos y generar el archivo de autenticación con privilegios de SYSTEM.
¿Cómo supera la vulnerabilidad los mecanismos de protección?
La vulnerabilidad SignDrop se distingue por su capacidad única para operar contra los mecanismos de autoprotección de cualquier motor antimalware o sistemas de detección y respuesta de puntos finales EDR. Esto se debe a que la solicitud de creación del archivo parece provenir del proceso legítimo del propio motor desde la perspectiva de los programas del núcleo del sistema, lo que permite eludir la protección y desactivar cualquier programa antivirus.
Naceri señaló que probó la explotación de la vulnerabilidad en sistemas Windows 11 26H2 y Windows Server 2025 en versión preliminar, estimando que alrededor del 80% de las instalaciones de Windows podrían estar en riesgo. Hasta el momento, no existen soluciones disponibles más allá de esperar el parche de seguridad oficial de Microsoft, dado que desactivar los interceptores de protección de CLFS podría exponer los dispositivos a otros riesgos de seguridad relacionados con la corrupción de memoria.
¿Qué significa esto para los usuarios y administradores?
Esta vulnerabilidad subraya la complejidad de las interacciones de software entre los parches de seguridad y los componentes básicos del sistema operativo. Hasta que Microsoft publique una actualización de seguridad oficial, los administradores de sistemas solo pueden monitorear las alertas de seguridad y esperar los parches oficiales, con la posibilidad de utilizar las herramientas de escaneo proactivo que el investigador ha puesto a disposición para verificar el grado de afectación de los sistemas actuales sin que exista una forma inmediata de detener el riesgo por completo.