セキュリティ研究者であり、「Nightmare Eclipse」としても知られるアブドゥルハミド・ナセリ氏は、Windowsオペレーティングシステムの新たなゼロデイ脆弱性「SignDrop」を公開しました。この脆弱性により、攻撃者は、共通ログファイルシステム（CLFS）ドライバを標的とした認証攻撃に対処するためマイクロソフトが2025年10月に追加した保護メカニズムを悪用し、完全なSYSTEM権限を取得することが可能になります。
研究者によると、この脆弱性は、CLFSドライバが新しいログファイルの作成時に「.cnpf」拡張子を持つ認証ファイルの作成を処理する方法に起因しています。システムは初期段階でアクセス権限のチェックを正しく実行しますが、その後別の特権プロセスがログファイルを開いた場合、ロジックが不正利用される可能性があります。これにより、Windows Defenderなどの特権プロセスがファイルを開き、SYSTEM権限で認証ファイルを生成するように誘導されます。
脆弱性はどのように保護メカニズムをバイパスするか？
SignDropの脆弱性は、あらゆるマルウェア対策エンジンやEDR（Endpoint Detection and Response）セキュリティ拡張機能の自己防衛メカニズムに対して機能するという独自の能力を備えています。これは、カーネルモードのドライバの観点から見ると、ファイル作成要求がエンジン自体の正規のプロセスから発信されているように見えるためであり、これにより保護をバイパスし、任意のウイルス対策ソフトを無効化することが可能になります。
ナセリ氏は、Windows 11 26H2およびWindows Server 2025のプレビュー版でこの脆弱性の悪用をテストしたと指摘しており、Windowsのインストールの約80%が危険にさらされている可能性があると見積もっています。CLFS保護の介入を無効にするとメモリ破損に関連する他のセキュリティリスクにデバイスがさらされる可能性があるため、これまでのところ、マイクロソフトからの公式セキュリティパッチを待つ以外に利用可能な回避策はありません。
これはユーザーや管理者に何を意味するのか？
この脆弱性は、セキュリティ修正とオペレーティングシステムの基本コンポーネントとの間のコードの相互作用の複雑さを浮き彫りにしています。マイクロソフトが公式のセキュリティアップデートをリリースするまで、システム管理者はセキュリティアラートを監視し、公式パッチを待つしかありません。また、危険にさらされている既存のシステムの影響度を確認するために研究者が提供したプロアクティブスキャンツールを使用することは可能ですが、リスク全体を直ちに阻止する直接的な手段は存在しません。