Der Sicherheitsforscher Abdelhamid Naceri hat am 10. November 2026 Exploit-Code für eine bislang ungepatchte Schwachstelle im Windows Common Log File System (CLFS) veröffentlicht. Das unter dem Namen „SignDrop“ bereitgestellte Werkzeug zielt auf den Treiber clfs.sys ab und erlaubt lokalen Standardnutzern, ihre Berechtigungen auf das Niveau des Windows-SYSTEM-Kontos auszuweiten. Betroffen von der Problematik sind Windows 11 sowie Windows Server 2025.
Die Veröffentlichung des Codes auf GitHub erfolgte zeitgleich mit Microsofts monatlichen Sicherheitsupdates für den November. Der Exploit war Microsoft zuvor nicht gemeldet worden. In der Nacht zum 11. November 2026 reichte Naceri um 0:37 Uhr MEZ eine detaillierte technische Analyse der Funktionsweise nach.
Schwachstelle in neuer Schutzmaßnahme
Die Lücke steht im direkten Zusammenhang mit einer Authentifizierungsfunktion für CLFS-Protokolldateien, die Microsoft ab den Systemaktualisierungen vom 28. Oktober 2025 eingeführt hatte. Dieser im Dokument KB5056852 beschriebene Mechanismus nutzt maschinenspezifische HMAC-Codes und wurde für Windows 11 (25H2, 26H1) sowie Windows Server 2025 ausgerollt.
Die Schutzfunktion startet standardmäßig mit einem 90-tägigen Lernmodus, bevor das Betriebssystem die Gültigkeitsprüfung der Codes zwingend durchsetzt.
Der Fehler tritt laut Naceri bei der Erstellung der dazugehörigen Konfigurations- und Authentifizierungsdatei mit der Endung .cnpf auf. Zwar prüfe der Dienst die Zugriffsrechte beim anfänglichen Anlegen der Protokolldatei ordnungsgemäß, werde die Datei jedoch später von einem privilegierten Prozess geöffnet, werde die .cnpf-Datei mit SYSTEM-Rechten, aber den Zugriffsberechtigungen der Ursprungsdatei des Angreifers generiert.
Ein Klick auf einen manipulierten Link oder eine Datei reicht oft schon aus, um die Sicherheit Ihres Systems zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie den Windows Defender richtig einstellen, um Ihren PC wirksam vor Viren und Trojanern zu schützen. Kostenlose Windows Defender Anleitung jetzt sichern
Für den Angriff legt ein lokaler Benutzer eine Protokolldatei mit Container-Pfad an und veranlasst den Windows Defender über die Signatur-Update-Schnittstelle (ServerMpUpdateEngineSignature) sowie symbolische Verknüpfungen des Windows Object Managers dazu, die Datei im Kontext der Sicherheits-Engine zu öffnen.
Der Demonstrationscode platziert daraufhin eine Payload an einem kontrollierbaren Pfad, was das Öffnen einer SYSTEM-Kommandozeile ermöglicht. Eine Variante erzeugt eine Datei hid.dll im Windows-Verzeichnis, die über consent.exe mit vollen Rechten geladen wird.
Voraussetzungen und Testergebnisse
Für eine erfolgreiche Ausführung benötigt ein Angreifer bereits Zugriff auf ein lokales Benutzerkonto sowie die Möglichkeit zur Codeausführung auf dem Zielsystem, beispielsweise über Phishing. Zudem muss der Windows Defender aktiv sein.
Naceri testete den Angriff auf Windows 11 26H2, experimentellen Vorabversionen sowie Windows Server 2025 Experimental und schätzte den Anteil potenziell verwundbarer Installationen auf rund 80 Prozent, wobei diese Angabe nicht durch Felddaten verifiziert ist.
Angesichts komplexer Sicherheitslücken ist es für Nutzer wichtig, die integrierten Schutzfunktionen ihres Betriebssystems voll auszuschöpfen. In dieser Experten-Anleitung erfahren Sie, welche versteckten Einstellungen Ihren PC zusätzlich absichern. Jetzt kostenlosen PDF-Report von Manfred Kratzl herunterladen
Am 12. November 2026 bestätigten externe Sicherheitsforscher die prinzipielle Funktion des Exploits. Das Unternehmen Cyderes konnte den Code kompilieren und damit eine SYSTEM-Shell erzeugen.
Das Team von 78researchlab, bestehend aus Sungyup Nam und Heewon Song, stellte bei eigenen Tests auf aktuellen Builds fest, dass der Exploit funktioniere, derzeit jedoch nicht zuverlässig genug für einen operativen Einsatz sei; die Ausführung ersetze UAC-Abfragen durch Standard- und SYSTEM-Shells.
Keine Patches oder sichere Übergangslösungen
Laut Berichten vom 12. November 2026 hat Microsoft die Schwachstelle bislang weder bestätigt noch eine CVE-Kennung vergeben. Ein funktionierender Patch stand auch in den November-Updates nicht zur Verfügung. Zudem existiert kein sicherer Workaround: Zwar lässt sich die Authentifizierung über die Windows-Registrierung abschalten, dies würde betroffene Systeme jedoch wieder für ältere Speicherfehler im CLFS-Treiber anfällig machen.
Hinweise auf eine aktive Ausnutzung der Lücke durch Cyberkriminelle liegen der US-Cybersicherheitsbehörde CISA laut Berichten vom 12. November 2026 nicht vor, weshalb die Schwachstelle nicht in deren Katalog bekannter ausgenutzter Lücken geführt wird.