不満研究者がWindows 0-dayを公開、SYSTEM権限奪取
原題: Windows 0-day dropped by disgruntled researcher hands hackers System rights
なぜ重要か
パッチ未提供のままPoCが公開されたことで、ローカル権限昇格を狙う攻撃者が即座に悪用できる状態となり、企業・個人双方への実害リスクが高い。
「Nightmare Eclipse」と名乗る研究者が2026年11月13日、Windowsのゼロデイ脆弱性「SignDrop」を公開した。Common Log File System（CLFS）とWindows Defenderの連携を悪用し、一般ユーザー権限からSYSTEM権限への昇格が可能。Windows 11 26H2およびWindows Server 2025 Experimentalが対象となり、概念実証コードも同時に公開された。
Microsoftと公然と対立している研究者「Nightmare Eclipse」が、またもWindowsのゼロデイを公開した。今回の脆弱性「SignDrop」は、CLFSとWindows Defender、そしてWindowsファイル権限の相互作用を突くものだ。
攻撃の仕組みはこうだ。まず一般ユーザーがCLFSコンテナを細工し、Windows DefenderのServerMpUpdateEngineSignatureという正規の署名更新関数を呼び出して開かせる。攻撃者はWindows Object Managerのシンボリックリンクを操作することで、Defenderを自身のSYSTEM権限でそのコンテナを開かせる状態に誘導する。対応する認証ファイルが存在しない場合、CLFSはDefenderのSYSTEM権限でファイルを新規作成する。その際、元ファイルのDACL（任意アクセス制御リスト）が引き継がれるため、攻撃者はSYSTEM権限で生成されたファイルへのアクセスを得て、権限昇格を完成させる。
皮肉なことに、この脆弱性の根本にあるのはMicrosoftが2025年10月にCLFSの別の脆弱性対策として導入したセキュリティ機能そのものだ。Nightmare Eclipseは「正規のセキュリティ緩和策が逆に悪用できる」とコメントし、さらにこの手法がWindows DefenderだけでなくあらゆるEDR・ウイルス対策製品のタンパープロテクション回避にも転用できると指摘している。カーネルドライバーから見ると、ファイル作成要求は正規のセキュリティプロセスから来ているように見えるためだ。
影響を受けるのはWindows 11 26H2、Windows 11 26H2 Experimental、Windows Server 2025 Experimental。CLFSの認証モードが「learning mode」または「enforcement mode」になっているシステムは脆弱であり、公開されたPoCを実行するとSYSTEMシェルが起動するという。Microsoftからのパッチは現時点で提供されていない。