불만 품은 연구원, Windows 0-day 공개
원제: Windows 0-day dropped by disgruntled researcher hands hackers System rights
왜 중요한가
패치 없는 System 권한 탈취 취약점이 PoC와 함께 공개돼 기업 보안팀의 즉각적인 위협 대응이 요구된다.
2026년 11월 13일, 'Nightmare Eclipse'라는 가명의 보안 연구원이 Windows의 새로운 제로데이 취약점 'SignDrop'을 공개했다. 이 취약점은 일반 사용자 권한으로 Windows 11 26H2, Windows Server 2025 등에서 최고 권한인 System 권한을 획득할 수 있게 하며, 현재 패치가 존재하지 않는다.
Nightmare Eclipse는 Microsoft와 공개적으로 갈등을 빚어온 연구원으로, 이번에 'SignDrop'이라는 이름의 Windows 권한 상승 취약점을 공개했다.
취약점의 핵심은 Common Log File System(CLFS), Windows Defender, Windows 파일 권한 간의 상호작용에 있다. 공격자는 일반 사용자 권한으로 조작된 CLFS 컨테이너를 생성한 뒤, Windows Defender의 정식 함수인 'ServerMpUpdateEngineSignature'를 호출해 Defender가 해당 파일을 열도록 유도한다. Windows Object Manager 심볼릭 링크를 조작하면 Defender는 자신의 System 권한으로 CLFS 컨테이너를 열게 되고, 인증 파일이 없을 경우 CLFS가 Defender의 System 권한으로 새 파일을 생성한다. 이때 CLFS가 원본 파일의 DACL을 그대로 적용하기 때문에, 공격자는 System 권한으로 생성된 파일에 접근해 권한 상승을 완성할 수 있다.
아이러니하게도 이 취약점은 Microsoft가 2025년 10월에 다른 CLFS 취약점을 막기 위해 도입한 보안 조치 자체를 역이용한다. Nightmare Eclipse는 "Microsoft가 모든 것을 올바르게 구현했지만, 그 로직이 악용을 허용한다"고 설명하며, 이 방식이 Windows Defender뿐 아니라 모든 안티바이러스·EDR 제품의 자체 보호 메커니즘을 우회하는 데 사용될 수 있다고 밝혔다.
취약점의 영향을 받는 버전은 Windows 11 26H2, Windows 11 26H2 Experimental, Windows Server 2025 Experimental이다. CLFS 인증 모드가 학습 모드 또는 적용 모드로 설정된 시스템이 취약하며, 연구원은 System 셸을 획득하는 개념 증명(PoC) 코드도 함께 공개했다.