Hledat English

Zpráva Aktuálně

SignDrop: veřejný exploit na neopravenou chybu v ovladači CLFS dává ve Windows práva SYSTEM

Výzkumník Abdelhamid Naceri (Nightmare Eclipse) 12. listopadu 2026 zveřejnil na GitHubu ukázkový exploit SignDrop. Zneužívá chybu v ovladači Common Log File System (clfs.sys) – přesně v ochraně, kterou Microsoft do CLFS přidal kvůli dřívějším útokům. Běžný uživatel nebo malware na počítači si podle autora získá práva SYSTEM. Oprava neexistuje, CVE ani vyjádření Microsoftu zatím také ne. Co to znamená pro správce Windows.

Redakce Kyberkitu · · událost ze dne · čtení na 3 minuty · Pro správce a analytiky

Zpráva: Windows CLFS

Ve zkratce

  • Týká se: správců stanic a serverů s Windows 11 25H2 a novějšími a Windows Server 2025, kde je zapnutá ochrana CLFS logfile authentication. Jde o lokální eskalaci oprávnění – útočník už musí mít na počítači možnost spustit kód.
  • Chyba je podle autora v tom, jak ovladač clfs.sys vytváří doprovodný ověřovací soubor .cnpf. Ten Microsoft zavedl jako ochranu proti podvrženým souborům protokolů CLFS, které útočníci v minulosti opakovaně zneužívali.
  • Zda je počítač zranitelný, napoví hodnota Mode v klíči HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication: 0 nebo 1 znamená zapnutou ochranu, a tedy podle autora zranitelný systém.
  • Opravu Microsoft nevydal. Vypnutí ochrany (hodnota 2) by SignDrop zastavilo, ale otevřelo by znovu cestu starším chybám v CLFS – autor i Microsoft ho nedoporučují.

Co se stalo

Výzkumník Abdelhamid Naceri, který vystupuje pod jménem Nightmare Eclipse, zveřejnil 12. listopadu 2026 na GitHubu projekt SignDrop – popis a ukázkový exploit na dosud neopravenou chybu v ovladači Common Log File System (clfs.sys) ve Windows. Podle autora umožní běžnému uživateli získat práva SYSTEM.

Microsoft o chybě podle README předem informován nebyl, opravu ani CVE nevydal a advisory jsme k 12. 11. nenašli. Útoky zatím nikdo nehlásí – exploit je ale veřejný, takže je jeho převzetí útočníky otázkou času.

Co je CLFS a kde je chyba

CLFS je subsystém Windows pro zápis transakčních protokolů, který používají systémové služby i aplikace. Chyby v jeho ovladači útočníci v minulosti opakovaně zneužívali k eskalaci oprávnění, často při útocích ransomwaru. Microsoft proto přidal ochranu CLFS logfile authentication: ovladač ke každému souboru protokolu ukládá ověřovací kódy (HMAC) a doprovodný soubor s příponou .cnpf, a podvržené soubory odmítne otevřít. Ve Windows 11 25H2 je ochrana zapnutá ve výchozím stavu.

SignDrop podle autora zneužívá právě způsob, jakým ovladač soubor .cnpf vytváří při zakládání nového protokolu. Když soubor později otevře proces s vysokými právy, útočník tím získá práva SYSTEM. Autor tvrdí, že stejným postupem lze obejít i ochranu antiviru či EDR proti vypnutí – to jsme neověřili. Podrobnosti postupu nepřebíráme.

Koho se to týká

  • Systémy se zapnutou ochranou CLFS – v registru HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication, hodnota Mode:
    • 0 = ochrana vynucená, 1 = režim učení → podle autora zranitelné,
    • 2 = vypnuto administrátorem, 3 = vypnuto systémem → SignDrop nefunguje, ale chybí ochrana proti starším chybám.
  • Autor exploit ověřil na Windows 11 26H2 a vývojových (Experimental) sestaveních Windows 11 26H2 a Windows Server 2025. Jeho odhad, že zranitelných je 80 % instalací Windows, nemá oporu v datech.

Hodnotu zjistíte v PowerShellu:

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\CLFS\Authentication" -Name Mode

Co udělat

  1. Ochranu nevypínejte. Microsoft upozorňuje, že bez ní CLFS zpracovává i škodlivé soubory protokolů.
  2. Omezte spouštění kódu: uživatelé bez administrátorských práv, aplikační kontrola (WDAC/AppLocker) na serverech a sdílených stanicích.
  3. Hlídejte příznaky eskalace (naše doporučení): nové procesy s právy SYSTEM spuštěné z uživatelských adresářů, nečekané soubory .blf a .cnpf v uživatelských a dočasných složkách, upozornění EDR na pokus o vypnutí ochrany.
  4. Sledujte Microsoft: opravu nasaďte hned po vydání. Listopadové aktualizace z 10. 11. (přehled v článku Patch Tuesday listopad 2026) SignDrop neřeší – exploit vyšel až po nich – ale nasaďte je kvůli zneužívané chybě v Outlooku. Indikátory, které zveřejní Microsoft nebo bezpečnostní firmy, si vytáhnete v extraktoru IOC.

Aktualizace

  • 12. 11. 2026 – první verze článku.

Časté otázky

Je SignDrop nebezpečný pro domácí uživatele?

Sám o sobě nikomu do počítače nepronikne – útočník potřebuje už běžící kód, typicky z podvodné přílohy nebo staženého programu. Pak mu SignDrop pomůže získat plná práva a vypnout ochranu. Proti tomu pomáhá hlavně opatrnost u příloh a stahování a práce pod běžným účtem bez administrátorských práv.

Máme vypnout ochranu CLFS, dokud nevyjde oprava?

Nedoporučujeme. Microsoft v dokumentaci píše, že bez ochrany CLFS zpracovává i poškozené nebo škodlivé soubory protokolů – a právě chyby v jejich zpracování se v minulosti zneužívaly v útocích ransomwaru. Vypnutím byste vyměnili jednu známou chybu za celou třídu jiných.

Kdy vyjde oprava?

Microsoft se k 12. 11. 2026 nevyjádřil a advisory ani CVE jsme nenašli. Nejbližší pravidelné aktualizace vyjdou 8. prosince 2026, Microsoft ale může vydat opravu i mimo plán. Článek aktualizujeme.

Zdroje

  1. GitHub – MSNightmare/SignDrop (README, ukázkový exploit, 12. 11. 2026)
  2. Microsoft Learn – CLFS Logfile Authentication (soubory .cnpf, hodnoty Mode, vypnutí ochrany)
  3. Microsoft Learn – Introduction to the Common Log File System

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.