SignDrop: Windows-Zero-Day kann SYSTEM-Rechte und Antivirus-Schutz umgehen

Der Sicherheitsforscher Abdelhamid Naceri, der unter dem Pseudonym Nightmare Eclipse auftritt, hat einen funktionierenden Exploit für eine bislang ungepatchte Windows-Zero-Day-Schwachstelle namens SignDrop öffentlich gemacht.

Die Lücke erlaubt es lokalen Angreifern, erweiterte SYSTEM-Rechte zu erlangen und installierte Antiviren-Software zu umgehen. Nach einer bislang unbestätigten Schätzung des Entdeckers könnten rund 80% aller Windows-Installationen für die Schwachstelle anfällig sein.

Die Sicherheitslücke setzt am Common Log File System (CLFS) des Betriebssystems an. Der entwickelte Exploit nutzt die legitime Funktion ServerMpUpdateEngineSignature von Microsoft Defender für Signatur-Updates in Verbindung mit der Authentifizierungsdatei .cnpf . Über den Einsatz symbolischer Links, präziser Timing-Tricks und DLL-Sideloading im Verzeichnis Program Files gelingt die Rechteausweitung.

Laut Naceri kann die Methode prinzipiell jede Antiviren- und EDR-Software deaktivieren, da die für den Angriff benötigten Dateien direkt unter der Systemidentität des Sicherheitsprozesses erstellt werden. Zudem manipuliert der Exploit die Systemkomponente consent.exe , die beim Aufrufen der Benutzerkontensteuerung (UAC) die Datei hid.dll nachlädt.

Nicht jedes System ist gleichermaßen gefährdet. Erfolgreiche Tests wurden auf Windows 11 26H2 sowie auf experimentellen Vorabversionen von Windows 11 26H2 und Windows Server 2025 durchgeführt. Als Voraussetzung gilt eine Betriebsdauer der Installation von mehr als 90 Tagen.

Zudem muss in der Windows-Registrierung der Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode auf den Wert 0 (Enforcement) oder 1 (Learning) gesetzt sein. Die alternativen Werte 2 oder 3 verhindern SignDrop zwar, heben im Gegenzug jedoch den Schutz vor älteren Speicherbeschädigungsangriffen auf das CLFS wieder auf.

Zudem unterliegt der Angriff deutlichen praktischen Einschränkungen: Microsoft Defender muss auf dem Zielsystem aktiv laufen. Gleichzeitig verändert der Vorgang jeden Dialog der Benutzerkontensteuerung und öffnet sowohl eine reguläre Eingabeaufforderung als auch eine Shell mit SYSTEM-Rechten, was den Angriff leicht erkennbar macht.

Der Sicherheitsanalyst Will Dormann bestätigte das Funktionieren des Exploits, wies jedoch darauf hin, dass dieser nicht auf allen Windows-11-Varianten laufe. Bei seinen Tests erfüllte lediglich ein einziges Testgerät sämtliche Bedingungen.

Auch Heewon Song von 78researchlab und PurpleHound stufte den Exploit nach erfolgreichen Tests als zu unzuverlässig für operative Angriffe ein. Das Sicherheitsunternehmen Cyderes (Howler Cell) prüfte den Code ebenfalls und stellte fest, dass die 80%-Schätzung mit nur geringer Konfidenz bewertet werden könne.

Microsoft bestätigte am 13.11.2026, die Schwachstelle aktiv zu untersuchen, und kündigte an, betroffene Produkte so bald wie möglich mit Updates zu versorgen. Der Defender erkenne und blockiere entsprechende Ausnutzungsversuche bereits und alarmiere bei Versuchen zur Rechteausweitung.

Hinweise auf reale Angriffe in freier Wildbahn liegen derzeit weder Microsoft noch Cyderes vor. Bislang gibt es für SignDrop weder ein Sicherheitsupdate noch eine offizielle CVE-Nummer oder ein Advisory. Laut The Hacker News wird die Schwachstelle auch nicht im KEV-Katalog der US-Cybersicherheitsbehörde CISA geführt.

Naceri hatte den Exploit am 10.11.2026 am regulären Microsoft-Patchday auf GitHub bereitgestellt, an dem laut BleepingComputer zwar 1.235 Sicherheitslücken geschlossen worden waren, SignDrop jedoch unberücksichtigt blieb.

Breitere Aufmerksamkeit erfuhr der Fall am 12.11.2026 durch Branchenberichte, woraufhin am 13.11.2026 weiterer Machbarkeitscode über das GitHub-Konto MSNightmare folgte. Naceri rät Systemadministratoren ausdrücklich davon ab, die CLFS-Schutzmechanismen zu deaktivieren, da dies Systeme für ältere Speicherangriffe öffnen würde.

Als einzige Abhilfe bleibe das Warten auf ein offizielles Update von Microsoft. Laut Zählung von Howler Cell machte der Forscher innerhalb von sieben Monaten 16 Zero-Day-Lücken publik, darunter Schwachstellen wie BigDiskBuster, BlueHammer, RedSun, GreenPlasma, YellowKey, UnDefend sowie ShieldCrash und RoguePlanet.