Windows 11, nuova zero-day pubblica SignDrop: un utente locale può ottenere privilegi SYSTEM

Poteva passare un altro Patch Tuesday Microsoft senza una nuova segnalazione relativa a una vulnerabilità zero-day presente in Windows? Certamente no. Anche questo mese, subito dopo la pubblicazione degli aggiornamenti cumulativi Microsoft, il solito Nightmare Eclipse, si è fatto risentire condividendo i dettagli di una falla senza patch che potrebbe consentire a un attaccante di ottenere i privilegi NT AUTHORITY\SYSTEM, sfruttando proprio una protezione che i tecnici di Redmond avevano introdotto per impedire gli attacchi informatici.

La tecnica, battezzata SignDrop, interessa il driver Common Log File System (CLFS) e permette, secondo il ricercatore che l’ha scoperta, di aggirare persino i meccanismi di autodifesa degli antivirus.

Il problema nasce da una modifica introdotta a fine ottobre 2025 per rendere più sicura la gestione dei log di Windows, rispetto a un componente di sistema già coinvolto in numerose vulnerabilità di escalation dei privilegi. Il ricercatore stima che fino all’80% delle installazioni Windows possa risultare vulnerabile, ma si tratta di una valutazione non suffragata da dati acquisiti sul campo.

SignDrop: quando una protezione di Windows diventa una vulnerabilità

Il Common Log File System è un sottosistema di Windows che offre funzionalità di registrazione transazionale utilizzabili da applicazioni e componenti del sistema operativo. Il driver kernel clfs.sys gestisce strutture di log potenzialmente complesse; elaborarle con privilegi elevati rappresenta da tempo un rischio per la sicurezza.

Per ridurre la possibilità di sfruttare file di log manipolati, Microsoft ha introdotto un meccanismo di autenticazione basato su HMAC (Hash-based Message Authentication Code): una chiave crittografica specifica del computer permette di verificare l’integrità dei dati prima che CLFS ne interpreti le strutture interne.

La protezione, descritta nella documentazione ufficiale Microsoft KB5056852, interessa Windows 11 e Windows Server 2025 con gli aggiornamenti distribuiti dal 28 ottobre 2025.

Come funziona l’exploit: dai file .blf ai privilegi SYSTEM

Il funzionamento di SignDrop sfrutta una debolezza nel modo in cui Windows 11 gestisce alcuni file utilizzati per registrare le attività del sistema. Tali file fanno parte del componente CLFS e, in condizioni normali, il sistema operativo dovrebbe impedire a un utente con pochi privilegi di modificarli o utilizzarli per eseguire operazioni riservate agli amministratori.

Nightmare Eclipse ha scoperto che è possibile aggirare tali limitazioni coinvolgendo Microsoft Defender. L’attaccante prepara alcuni file .blf appositamente modificati e induce l’antivirus di Windows ad aprirli: Defender, infatti, opera con privilegi molto elevati, superiori a quelli di un normale utente.

A quel punto si manifesta il difetto di sicurezza: quando Defender accede ai file preparati dall’attaccante, Windows può creare ulteriori file di supporto utilizzando i privilegi SYSTEM, i più elevati disponibili nel sistema operativo. Il problema è che alcune autorizzazioni associate a quei file rimangono sotto il controllo dell’attaccante.

Ancora una volta, Defender è utilizzato per compiere operazioni che l’attaccante non potrebbe eseguire direttamente: combinando questa debolezza con altre caratteristiche della gestione dei file CLFS, il ricercatore è riuscito a ottenere una shell con privilegi SYSTEM: significa poter eseguire comandi con un livello di accesso che consente di intervenire sulle parti più delicate di Windows.

L’aggressione non presuppone alcun tipo di violazione crittografica o la disattivazione preventiva dell’antivirus: SignDrop sfrutta il comportamento di componenti legittimi del sistema operativo, trasformando una funzione introdotta per migliorare la sicurezza in un possibile punto d’ingresso per acquisire privilegi elevati.

Quali versioni di Windows sono vulnerabili e come verificarlo

Nightmare Eclipse afferma di aver verificato il funzionamento di SignDrop su Windows 11 26H2 e su versioni sperimentali di Windows 11 e Windows Server 2025. Ma come può un utente capire se il proprio computer è potenzialmente vulnerabile?

Un primo controllo consiste nell’aprire l’Editor del Registro di sistema di Windows, premendo Windows+R, digitando regedit e raggiungendo la chiave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Al suo interno, il valore Mode indica come Windows gestisce la protezione introdotta da Microsoft per verificare l’integrità dei file CLFS.

Secondo la documentazione ufficiale Microsoft, se Mode è impostato a 1, Windows utilizza la modalità learning: il sistema continua ad accettare i vecchi file di log e aggiunge progressivamente le informazioni necessarie per verificarne l’integrità. Si tratta di una fase di adattamento pensata per evitare problemi di compatibilità dopo l’installazione degli aggiornamenti.

Trascorsi normalmente 90 giorni dalla prima attivazione della nuova protezione, Windows passa alla modalità enforcement, identificata dal valore 0. Da quel momento, CLFS rifiuta di aprire i file di log privi di una firma di autenticazione valida. Il passaggio avviene automaticamente al successivo avvio del driver, senza richiedere interventi da parte dell’utente.

Secondo Nightmare Eclipse, SignDrop può funzionare sia con Mode impostato a 0 sia con Mode impostato a 1. Anche un computer che ha completato la fase di adattamento e applica pienamente i controlli di sicurezza potrebbe risultare vulnerabile. Il difetto, infatti, riguarda il funzionamento della protezione stessa.

Come proteggersi da SignDrop in attesa della patch Microsoft

Al 12 novembre 2026 non risulta una correzione Microsoft specifica per SignDrop, né una conferma ufficiale della vulnerabilità con un relativo identificativo CVE. Non emergono inoltre evidenze pubbliche di sfruttamento in attacchi reali.

Va chiarito un aspetto fondamentale: SignDrop è una vulnerabilità di escalation locale dei privilegi. Significa che un attaccante non può sfruttarla semplicemente collegandosi a un computer Windows attraverso Internet: per portare a termine l’attacco deve prima riuscire a eseguire codice sul sistema della vittima, ad esempio attraverso un programma malevolo, un allegato infetto o un’altra vulnerabilità che gli consenta di ottenere un accesso iniziale.

In attesa di una correzione ufficiale, la prima precauzione consiste nell’evitare di utilizzare abitualmente Windows con un account amministratore, preferendo un account standard per le attività quotidiane. La misura non elimina il rischio rappresentato da SignDrop, che mira proprio a superare i limiti degli account con pochi privilegi, ma riduce le possibilità di compromissione attraverso altre tecniche.

È altrettanto importante mantenere aggiornati Windows, Microsoft Defender e gli altri software installati, evitando di eseguire codice proveniente da fonti sconosciute.

In ambito aziendale, gli amministratori possono rafforzare la protezione utilizzando App Control for Business o AppLocker per limitare l’esecuzione di software non autorizzato e monitorando i tentativi anomali di acquisizione dei privilegi SYSTEM.

Non è invece consigliabile disattivare la protezione CLFS modificando il valore Mode nel Registro di sistema: una simile operazione potrebbe impedire il funzionamento dell’exploit nelle condizioni descritte dal ricercatore, ma esporrebbe Windows ad altre vulnerabilità già note.