Newshot 
本周早些时候公开的漏洞利用代码声称，本地 Windows 用户可以通过 Common Log File System 驱动程序获得 SYSTEM 权限。
这个名为 SignDrop 的概念验证代码针对的是去年添加到该驱动程序中的日志身份验证功能。它滥用 clfs.sys 在特权进程打开准备好的日志时创建伴随文件的方式，利用路径重定向控制该操作。微软尚未确认所声称的漏洞、分配 CVE 或发布修复程序。
该漏洞利用背后的研究者以 MSNightmare 名义发布内容，于周二在 GitHub 上发布了代码和详细分析，同日该公司发布了 11 月安全更新。
CLFS 是内置于 Windows 的日志记录子系统。其驱动程序一直是权限提升的常见目标：10 个 CLFS 漏洞出现在 CISA 的已知在攻击中被利用漏洞目录中，其中包括 2025 年 4 月勒索软件活动中使用的一个漏洞。
为减少这种暴露面，微软在 2025 年 10 月发布的 Windows 11 25H2、26H1 和 Windows Server 2025 更新中，为 CLFS 日志文件添加了身份验证检查。该检查附加一个基于哈希的消息认证码，该认证码由日志数据和每台机器唯一的密钥构建。
随后驱动程序只解析它写入的日志文件。根据该公司的日志文件身份验证页面，一个伴随 .cnpf 文件在每个日志旁存储恢复数据，并采用与原始日志相同的安全属性创建。
SignDrop 针对的是该伴随文件的创建过程。根据概念验证代码，标准用户准备一个 CLFS 日志和容器，其路径由该用户控制。当特权进程之后打开该日志时，驱动程序会在特权进程的安全上下文中创建 .cnpf 文件，而不是在用户的安全上下文中创建。
该漏洞利用使用对象管理器符号链接，将该文件的创建重定向到攻击者选择的位置。在公开的代码中，特权进程是 Defender 反恶意软件服务，通过其更新接口触发。
“微软在这里把一切都做得很规范，但逻辑允许滥用。”该研究者写道。
由于 .cnpf 文件继承原始日志的权限，结果是创建一个以 SYSTEM 身份创建、标准用户可以写入的文件。该研究者表示，这可以串联获得 SYSTEM shell。
根据该仓库，该漏洞利用已在 Windows 11 26H2、一个 Windows 11 26H2 Experimental 版本以及 Windows Server 2025 Experimental 上测试。当 CLFS 身份验证注册表模式设置为 0（强制执行）或 1（学习）时，系统会受到影响。超过 90 天的系统通常会自动从学习模式转为强制执行模式，因此已长期安装环境中的默认配置正是该漏洞利用所针对的配置。
注册表值为 2 或 3 意味着缓解措施被禁用。这会使系统超出所声称的攻击面，但研究者和驱动程序自带文档都警告不要这样做：禁用会让 CLFS 解析被篡改的日志文件，重新打开该保护原本旨在防止的内存破坏漏洞。
独立测试
韩国安全公司 78researchlab 研究主管 Sungyup Nam 在今天发布的一份评估报告中表示，该公司 PurpleHound offensive content 团队的研究员 Heewon Song 测试了该漏洞利用，并发现它有效。Nam 写道，Song 评估认为其运行可靠性不足以用于实际运营。
要使
新的 SignDrop 零日漏洞利用将 Windows CLFS 安全功能变为 SYSTEM 访问权限
该仓库声称，这项技术可用于任何进程以提升权限运行的反恶意软件引擎。这一更宽泛的说法尚未经过测试。
防御者能做什么
11 月安全更新中未出现针对 SignDrop 的 CVE、公告或补丁。CISA 已知被利用漏洞目录未将其列出，也没有报告使用该漏洞利用的攻击。
管理员可以通过读取 HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication 处的 CLFS 身份验证模式来检查暴露情况，其中 Mode 值为 0 或 1 属于研究者声称的范围。供应商的缓解指南说明了该设置以及禁用它的风险。
自 4 月以来，该研究者发布了一系列针对 Windows 和 Defender 的漏洞利用。供应商在 6 月确认了早先一个名为 RoguePlanet 的 Defender 漏洞利用为 CVE-2026-50656，并在下个月修补了它。
ShieldBreak 绕过随后在 8 月出现，并被分配为 CVE-2026-69414。该研究者早先的三个 Defender 漏洞已被用于攻击。
SignDrop 属于另一类问题。早先的漏洞利用针对的是 Defender 文件处理中的竞态条件，而这一次针对的是 CLFS 驱动程序自身的身份验证功能。供应商的安全更新指南是关注其回应的地方。