Windows'ta SignDrop adıyla yeni bir sıfırıncı gün açığı: yerel kullanıcı SYSTEM ayrıcalığı kazanabiliyor

Nightmare Eclipse takma adlı bir araştırmacı, standart haklara sahip yerel bir kullanıcının SYSTEM ayrıcalığı elde etmesini sağlayabilecek bir Windows açığının kanıt niteliğinde kodunu yayımladı; Microsoft henüz açığı doğrulamadı ve bir yama yayımlamadı.

Güncellendi: 13 Kasım 2026

Nightmare Eclipse takma adlı bir araştırmacı, SignDrop adını verdiği bir Windows açığının kavram kanıtı kodunu yayımladı. Açık, standart haklara sahip yerel bir kullanıcının SYSTEM ayrıcalıklarını ele geçirmesine olanak tanıyabiliyor. Zafiyet, Common Log File System (CLFS) sürücüsünde bulunuyor; burada, Windows Defender gibi ayrıcalıklı bir sürecin haklarıyla oluşturulan bir kimlik doğrulama dosyası yer alıyor. Araştırmacıya göre bu zincir, diğer antimalware motorlarının kurcalamaya karşı korumasına karşı da kullanılabilir.

Testler Windows 11 26H2 ve Windows Server 2025 Experimental sürümlerinde yapıldı. Araştırmacı, kurulumların büyük çoğunluğunun etkilendiğini tahmin ediyor ve bu tahmine göre yaklaşık yüzde 80 oranında Windows kurulumu savunmasız durumda. Bağımsız bir test grubu ise istismarın çalıştığını, ancak operasyonel kullanım için yeterince güvenilir olmadığını bildirdi.

Microsoft henüz açığı doğrulamadı, bir CVE numarası atamadı ve bir düzeltme yayımlamadı. Yöneticiler, beklerken ilk adım olarak CLFS kimlik doğrulama kayıt defteri modunu kontrol edebilir. Bu değeri 0 ya da 1 olarak ayarlanmış sistemler, iddia edilen saldırı kapsamına giriyor. Bu açığın şu ana kadar gerçek saldırılarda kullanıldığına dair bir kanıt bulunmuyor.