一位化名为“Nightmare Eclipse”的安全研究人员披露了 Windows 操作系统中一个名为 SignDrop 的新型零日（Zero-day）漏洞。该漏洞允许权限受限的本地用户将其权限提升至完全的系统（System）级别，从而使他们能够对受感染的设备进行广泛控制。
漏洞工作原理
该漏洞存在于 通用日志文件系统（Common Log File System，简称 CLFS） 中，这是 Windows 应用程序使用的一项通用日志服务。该攻击利用了此服务与“Windows Defender”程序之间的交互。攻击者通过操纵 Windows 对象管理器中的链接，强制 Defender 在高安全上下文中打开一个特制的 CLFS 容器。由于该服务以系统权限创建新文件，攻击者可以利用此过程绕过安全限制。
为何此消息重要？
该漏洞之所以具有特殊意义，是因为它将微软在 2025 年 10 月为防止先前攻击而设计的安全措施转化为了一种入侵工具。研究人员指出，该漏洞的独特之处在于它可以针对任何反恶意软件（Antimalware）引擎使用，以禁用其自身的防御机制，因为文件创建请求在引擎看来就像是来自受信任的合法进程。
影响范围与限制
研究人员确认，该漏洞影响 Windows 11 26H2 和 Windows Server 2025 Experimental 等特定版本。安全研究员 Will Dormann 解释称，重现该漏洞是可能的，但需要满足特定条件，包括系统运行时间已超过 90 天，且系统注册表中的身份验证模式值设置为 0 或 1。
微软方面表示正在调查该报告，并确认目前没有证据表明该漏洞已被用于实际攻击，同时指出“Defender”程序正在努力阻止潜在的利用尝试。