漏洞详情
以“Nightmare Eclipse”之名广为人知的安全研究员 AbdelHamid Naceri 披露了一个针对 Windows 系统的新型零日 (Zero-Day) 漏洞详情。该漏洞被称为 SignDrop，它允许本地用户通过利用通用日志文件系统 (Common Log File System - CLFS) 中的逻辑缺陷，将权限提升至系统 (System) 级别。
CLFS 是 Windows 中的一个关键组件，负责在内核模式 (Kernel Mode) 下解析复杂的日志文件，并已成为攻击者的频繁目标。尽管微软去年引入了日志文件验证机制以增强文件完整性，但该新漏洞通过操纵扩展名为 .cnpf 的验证文件的处理方式，绕过了这一保护措施。
漏洞利用原理
该漏洞依赖于 CLFS 在打开日志文件时的行为；系统会尝试对容器 (Container) 文件进行签名，即使该文件是空的。攻击者可以创建一个日志文件并指定与容器关联的路径，然后强制 Windows Defender 通过签名更新接口 (RPC) 在反恶意软件引擎的上下文中打开该文件。
此过程会导致 Defender 在攻击者指定的路径中以系统权限创建一个签名文件。一旦文件创建完成，攻击者即可重新打开它以插入恶意负载 (Payload)，最终导致以完全系统权限运行 Shell。
这对用户意味着什么？
据研究员称，该漏洞影响广泛的 Windows 版本，包括 Windows 11 26H2 和 Windows Server 2025，预计可能影响全球约 80% 的 Windows 设备，特别是那些在过去 90 天内未进行更新的设备。
微软方面确认，公司正在调查所报告的漏洞，并正采取必要措施更新受影响的产品。该公司表示，Windows Defender 目前能够检测并阻止利用此漏洞的尝试，并对相关的权限提升行为发出警报。此外，网络安全公司 Cyderes 的报告指出，虽然他们已成功测试了该漏洞，但目前尚无证据表明该漏洞已被用于实际攻击 (In the wild)。