Der Sicherheitsforscher Abdelhamid Naceri, der unter dem Pseudonym Nightmare Eclipse auftritt, hat einen neuen Zero-Day-Exploit namens SignDrop publik gemacht. Die Schwachstelle zielt auf den Treiber des Common Log File System (clfs.sys) ab und ermöglicht es Nutzern mit einfachen Standardrechten, die vollständige Kontrolle auf SYSTEM-Ebene über ein kompromittiertes Windows-System zu erlangen.
Am 10. November 2026 veröffentlichte der Forscher MSNightmare (Chaotic Eclipse) den entsprechenden Machbarkeitsnachweis auf der Entwicklerplattform GitHub. Die Bereitstellung erfolgte am selben Tag, an dem Microsoft seine regulären monatlichen Softwareaktualisierungen auslieferte.
Mit Stand vom 11. November 2026 liegen für diesen Fehler weder eine offizielle Zuweisung im CVE-System noch ein Hersteller-Advisory oder eine Fehlerbehebung vor. Eine formelle Bestätigung seitens Microsoft steht bislang aus.
Fehlerhafte Schutzmaßnahme als Schwachstelle
Die technische Ursache für die Verwundbarkeit liegt ausgerechnet in einer Sicherheitsfunktion, die Microsoft im Oktober 2025 zur Absicherung des CLFS-Treibers eingeführt hatte. Wenn ein privilegierter Prozess ein Protokoll öffnet, wird dabei eine Authentifizierungsdatei mit der Endung .cnpf mit vollen SYSTEM-Rechten generiert. Dies geschieht beispielsweise durch den integrierten Windows Defender über die ServerMpUpdateEngineSignature.
Angreifer können diesen Mechanismus gezielt unterwandern, indem sie den Dateipfad mithilfe von symbolischen Verknüpfungen im Objekt-Manager manipulieren und auf ungesicherte Bereiche umleiten. Auf diesem Weg lässt sich die Dateierstellung missbrauchen, um Schutzmechanismen zu umgehen. Laut Naceri ist die Methode in der Lage, auch die sogenannte Tamper Protection beliebiger Antiviren- und Endpoint-Detection-and-Response-Lösungen auszuhebeln.
Ein Klick auf den falschen Link reicht oft aus, um solche Sicherheitslücken für Angriffe auszunutzen. In diesem kostenlosen Report erfahren Sie, wie Sie den bereits integrierten Windows Defender richtig einstellen, um Ihren PC bestmöglich abzusichern. Kostenlosen Report zur Windows-Absicherung herunterladen
Betroffene Systeme und Voraussetzungen
Erfolgreich getestet wurde der Exploit bisher auf Installationen von Windows 11 26H2, Windows 11 26H2 Experimental sowie Windows Server 2025 Experimental.
Naceri schätzt, dass rund 80 % aller Windows-Installationen für diesen Angriff anfällig sein könnten. Dabei handelt es sich nach Angaben des Forschers um eine Schätzung und nicht um eine exakte Messung.
Systeme gelten dann als verwundbar, wenn der entsprechende Registrierungsschlüssel unter HKLMSYSTEMCurrentControlSetServicesCLFSAuthenticationMode auf den Wert 0 für eine erzwungene Anwendung oder auf 1 für den Lernmodus konfiguriert ist. Bei den Werten 2 oder 3 ist die betroffene Funktion deaktiviert.
Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte die neuesten Funktionen und Einstellungen genau kennen. Ein aktueller Praxisleitfaden zeigt Ihnen, wie Sie Windows 11 optimal konfigurieren und typische Risiken durch richtige Einstellungen vermeiden. Gratis-PDF: Windows 11 sicher einrichten
Einordnung des Risikos
Aktive Angriffe unter Ausnutzung von SignDrop wurden bisher nicht registriert. Da es sich um eine rein lokale Schwachstelle handelt, müssen potentielle Angreifer bereits in der Lage sein, bösartigen Programmcode auf dem System auszuführen, bevor die Rechteausweitung greifen kann.
Ein unabhängiger Test durch Heewon Song von 78researchlab ergab zudem praktische Einschränkungen. Demnach funktioniert der Exploit zwar grundsätzlich, erweise sich im derzeitigen Zustand jedoch als nicht zuverlässig genug für einen gezielten operativen Einsatz.
Zudem setze der erfolgreiche Ablauf voraus, dass der Windows Defender auf der Zielmaschine aktiv ausgeführt werde. Ein wirksamer Workaround existiert nach Angaben von Naceri aktuell nicht; betroffenen Anwendern und Administratoren bleibt demnach vorerst nur das Warten auf einen offiziellen Patch des Betriebssystemherstellers.
Mehr zum Thema bei BleepingComputer: „New Windows SignDrop zero-day gives hackers SYSTEM privileges“