Un 0-day Windows offre les droits System aux hackers
Original : Windows 0-day dropped by disgruntled researcher hands hackers System rights
Pourquoi c'est important
Un exploit public ciblant CLFS et Defender expose des millions de postes Windows sans patch disponible.
Le chercheur « Nightmare Eclipse » a publié SignDrop, un exploit 0-day ciblant Windows 11 et Server 2025, permettant à tout utilisateur local d'obtenir les droits System via CLFS et Windows Defender.
Nightmare Eclipse, chercheur en sécurité en conflit ouvert avec Microsoft, a divulgué mardi une nouvelle faille zero-day baptisée SignDrop. La vulnérabilité réside dans le Common Log File System (CLFS), un service de journalisation générique de Windows. L'attaque force Windows Defender à ouvrir un fichier CLFS manipulé via la fonction légitime ServerMpUpdateEngineSignature. Si un fichier d'authentification associé est absent, CLFS le crée avec les privilèges System de Defender — et en hérite la liste de contrôle d'accès du fichier original, que l'attaquant contrôle. Résultat : une élévation de privilèges complète. L'ironie est double : l'exploit détourne une mesure de sécurité introduite par Microsoft en octobre 2025 pour protéger précisément CLFS. « Cette mitigation légitime peut être retournée contre elle-même », écrit le chercheur. Il ajoute que la technique peut désactiver n'importe quel antivirus ou EDR, puisque la création de fichier semble provenir du propre processus de l'antimalware. Les systèmes vulnérables incluent Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental. Un PoC fonctionnel est disponible publiquement.