"Nightmare Eclipse" takma adını kullanan bir güvenlik araştırmacısı, Windows işletim sisteminde SignDrop olarak adlandırdığı yeni bir sıfırıncı gün (Zero-day) açığını ortaya çıkardı. Bu açık, sınırlı yetkilere sahip yerel kullanıcıların yetkilerini tam sistem (System) düzeyine yükseltmelerine olanak tanıyarak, etkilenen cihaz üzerinde geniş bir kontrol sağlamalarına imkan veriyor.
Açığın çalışma mekanizması
Açık, Windows uygulamaları tarafından kullanılan bir genel günlük dosyası hizmeti olan Common Log File System (CLFS) içinde yer alıyor. Saldırı, bu hizmet ile "Windows Defender" programı arasındaki etkileşimi istismar ediyor. Saldırgan, Defender'ı yüksek güvenlik bağlamında özel olarak tasarlanmış bir CLFS kapsayıcısını açmaya zorlamak için Windows nesne yönetimi sistemindeki bağlantıları manipüle ediyor. Hizmet, sistem yetkileriyle yeni dosyalar oluşturduğundan, saldırgan bu süreci güvenlik kısıtlamalarını aşmak için kullanabiliyor.
Bu haber neden önemli?
Bu açık, Microsoft'un Ekim 2025'te önceki saldırıları önlemek için tasarladığı bir güvenlik önlemini bir saldırı aracına dönüştürdüğü için özel bir önem taşıyor. Araştırmacı, açığın benzersiz olduğunu, çünkü herhangi bir kötü amaçlı yazılımdan koruma (Antimalware) motoruna karşı, kendi kendini savunma mekanizmalarını devre dışı bırakmak için kullanılabileceğini belirtti; zira dosya oluşturma isteği, motor için meşru ve güvenilir bir işlemden geliyormuş gibi görünüyor.
Etki alanı ve kısıtlamalar
Araştırmacı, açığın Windows 11 26H2 ve Windows Server 2025 Experimental gibi belirli sürümleri etkilediğini doğruladı. Güvenlik araştırmacısı Will Dormann ise açığın yeniden üretilmesinin mümkün olduğunu, ancak sistemin üzerinden 90 günden fazla geçmiş olması ve sistem kayıt defterindeki (Registry) kimlik doğrulama modu değerinin 0 veya 1 olarak ayarlanmış olması gibi belirli koşullar gerektirdiğini açıkladı.
Microsoft ise raporu incelediğini belirterek, şu ana kadar açığın gerçek saldırılarda kullanıldığına dair bir kanıt bulunmadığını ve "Defender" programının olası istismar girişimlerini engellemek için çalıştığını ifade etti.