10 ноября исследователь Абдельхамид Насери опубликовал эксплойт SignDrop, позволяющий локальному пользователю повысить привилегии до SYSTEM. Проблема затрагивает механизм защиты драйвера CLFS, который Microsoft внедрила в октябре 2025 года. Эксплойт проверили на Windows 11 26H2 и тестовых сборках Windows Server 2025.
SignDrop использует особенности создания файлов проверки подлинности системных журналов. Атакующий заставляет Microsoft Defender обратиться к подготовленному контейнеру, после чего CLFS создаёт служебный файл с максимальными привилегиями. Символические ссылки позволяют перенаправить операцию. Автор также допускает возможность обхода защиты антивирусов и EDR, но независимых подтверждений пока нет.
Для успешной атаки злоумышленнику нужен предварительный доступ к выполнению кода на компьютере. На 12 ноября уязвимость не получила CVE и официального исправления. Снизить риск поможет контроль локального доступа и подозрительных операций с CLFS. Отключать защитный механизм не рекомендуется, поскольку такой шаг вновь откроет путь для прежних атак на драйвер.
