Der Sicherheitsforscher Abdelhamid Naceri, auch bekannt unter den Pseudonymen Nightmare Eclipse und MSNightmare, hat am 10. November 2026 einen neuen Windows-Zero-Day-Exploit mit dem Namen „SignDrop“ auf der Plattform GitHub unter dem Handle MSNightmare veröffentlicht.
Die Schwachstelle ermöglicht es lokalen Standardbenutzern, weitreichende SYSTEM-Rechte auf betroffenen Systemen zu erlangen. Zudem ist der Exploit in der Lage, Antiviren- und Erkennungswerkzeuge von Drittanbietern zu deaktivieren.
Schutzmechanismus wird gegen das System gewendet
Die am 10. November 2026 bereitgestellten November-Sicherheitsupdates von Microsoft enthielten keine Fehlerbehebung für SignDrop, obwohl der Softwarekonzern an diesem Patch-Dienstag laut BleepingComputer insgesamt 1.235 Sicherheitslücken schloss.
Wie aus einem Bericht vom 14. November 2026 hervorgeht, lagen bis zu den Stichtagen des 12. und 13. November weder eine Aktualisierung noch ein Sicherheitshinweis oder eine offizielle CVE-Kennung für die Lücke vor.
Technisch missbraucht der Exploit die im Oktober 2025 eingeführte Authentifizierung von Protokolldateien des Common Log File System (CLFS). Dieser Schutzmechanismus, der auf einem HMAC mit einem maschinenspezifischen Schlüssel für Windows 11 25H2, Windows 11 26H1 sowie Windows Server 2025 basiert, wird durch den Exploit gegen sich selbst gewendet.
Die von Naceri demonstrierte Angriffskette kommt ohne Speicherbeschädigung aus. Ein privilegierter Prozess des Windows Defender erstellt über die Schnittstelle für Signaturupdates namens ServerMpUpdateEngineSignature eine Begleitdatei mit der Dateiendung .cnpf.
Ein Klick auf den falschen Link kann ausreichen, um die Sicherheit Ihres gesamten Systems zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie den bereits integrierten Windows Defender richtig einstellen, um Ihren PC wirksam vor Viren und Trojanern zu schützen. Kostenlose Windows Defender Anleitung jetzt herunterladen
Diese Datei wird mit SYSTEM-Rechten erzeugt, weist jedoch für reguläre Standardbenutzer beschreibbare Rechte auf. Über symbolische Verknüpfungen im Windows-Objekt-Manager wird der Erstellungsvorgang auf einen vom Angreifer kontrollierten Speicherort umgeleitet.
Im Proof of Concept greift der Exploit zudem auf den Prozess consent.exe zurück, der bei Dialogen der Benutzerkontensteuerung mit SYSTEM-Berechtigungen arbeitet, und setzt eine modifizierte Datei namens hid.dll ein. Dies führt dazu, dass jede Abfrage der Benutzerkontensteuerung sowohl eine reguläre als auch eine SYSTEM-Kommandozeile öffnet, was das Vorgehen auffällig macht.
Laut dem Forscher lässt sich das Verfahren gegen jede Sicherheits- und EDR-Engine anwenden, da die Dateierstellung wie ein legitimer Vorgang des Antivirenprogramms erscheint, während die Schutzsoftware weiterhin einen unauffälligen Systemzustand meldet. Voraussetzung für den Angriff ist eine bereits bestehende lokale Codeausführung mit Standardrechten bei aktivem Windows Defender; über ein Netzwerk lässt sich die Schwachstelle nicht ausnutzen.
Uneinheitliche Testergebnisse unter Forschern
Verwundbar sind Systeme, bei denen der Registry-Wert für den Authentifizierungsmodus der CLFS-Dienste auf 0 für Enforcement oder auf 1 für Learning eingestellt ist. Die Werte 2 und 3 sind hingegen nicht betroffen.
Viele Windows-Nutzer wissen nicht, dass ihr System bereits über leistungsstarke Schutzfunktionen verfügt, die oft nur falsch konfiguriert sind. Erfahren Sie in dieser Experten-Anleitung, wie Sie Ihren PC ohne zusätzliche Kosten optimal absichern und Sicherheitslücken schließen. Kostenlosen Sicherheits-Leitfaden für Windows anfordern
Getestet wurde der Exploit unter Windows 11 26H2, Windows 11 26H2 Experimental sowie experimentellen Builds von Windows Server 2025. Naceris Schätzung, wonach rund 80 Prozent der Windows-Installationen anfällig seien, ist nicht unabhängig bestätigt; das Sicherheitsteam Cyderes Howler Cell stufte die Verlässlichkeit dieser Angabe als gering ein.
Unabhängige Sicherheitsforscher kamen zu differenzierten Ergebnissen. Will Dormann konnte den Exploit reproduzieren, merkte jedoch an, dass Windows 11 26H2 dafür mehr als 90 Tage mit Aktualisierungen betrieben werden und bestimmte Registry-Einträge aufweisen müsse.
Auf vielen seiner Testgeräte schlug der Versuch fehl. Heewon Song von 78researchlab beziehungsweise PurpleHound und Sungyup Nam bestätigten die prinzipielle Funktion, bewerteten den Exploit für den praktischen Einsatz jedoch als zu unzuverlässig.
Cyderes Howler Cell konnte eine SYSTEM-Konsole erzeugen und stellte fest, dass es sich um den 16. öffentlich gemachten Zero-Day des Forschers innerhalb von rund sieben Monaten handelt. Zu Naceris früheren Veröffentlichungen zählen BigDiskBuster, BlueHammer, RedSun, GreenPlasma, YellowKey, UnDefend, ShieldCrash und RoguePlanet. Drei frühere Veröffentlichungen sind im KEV-Katalog der US-Behörde CISA verzeichnet.
Microsoft kündigt Sicherheitsupdates an
Microsoft erklärte, den Fall aktiv zu untersuchen. Der Windows Defender erkenne und blockiere Versuche zur Ausnutzung, und es gebe bisher keine Hinweise auf Angriffe in freier Wildbahn. Sicherheitsupdates sollen so schnell wie möglich nachgereicht werden.
Naceri riet derweil ausdrücklich davon ab, die CLFS-Schutzfunktion zu deaktivieren, da dies ältere Schwachstellen im Bereich der Speicherbeschädigung erneut öffnen würde. Ein sicherer Behelfsweg existiert derzeit nicht.