SignDrop: exploit pubblico per Windows 11 trasforma un utente normale in SYSTEM, ma non c'è ancora la patch (aggiornato: 12 novembre 2026, ore 07:25)

Si chiama SignDrop ed è, almeno sulla carta, l'incubo di ogni amministratore di sistema Windows: un exploit pubblico che trasforma un normale account utente in SYSTEM, il livello di privilegio più alto del sistema operativo.Il 10 novembre 2026, il ricercatore ormai famosissimo che si firma con lo pseudonimo MSNightmare (o Nightmare-Eclipse) ha pubblicato dettagli completi e un proof of concept funzionante, sostenendo di aver scovato una falla in CLFS (Common Log File System), un componente centrale di Windows. Al momento non esiste alcun codice CVE assegnato, non esiste una patch e Microsoft non ha rilasciato commenti pubblici.

Il codice dell'exploit è pubblico su GitHub, completo di sorgenti in C++ e di un progetto Visual Studio. Secondo il ricercatore, un attacco riuscito «genera una shell con privilegi SYSTEM». Finora non sono stati segnalati attacchi reali.

Come funziona: la mitigazione diventa il problema

La parte interessante, e paradossale, è che SignDrop non sfrutta un bug classico. Abusa proprio della contromisura che Microsoft aveva introdotto per proteggere CLFS. Per bloccare gli attacchi di memory corruption, Microsoft ha aggiunto codici di autenticazione HMAC ai file di log di CLFS: un sistema di firma pensato per impedire manomissioni. Non è un problema teorico, perché - come nota la stessa Microsoft nel proprio blog - 19 delle 24 vulnerabilità CVE di CLFS emerse in cinque anni riguardavano una validazione impropria dei dati di log.

Il meccanismo prevede un periodo di "apprendimento" di 90 giorni, durante il quale CLFS firma i file di log man mano che vengono aperti. Dopo questa fase, i codici vengono applicati in modo rigido. La falla individuata da MSNightmare riguarda il modo in cui clfs.sys crea il file di autenticazione .cnpf: quando un log ha un container collegato vuoto, CLFS lo firma a prescindere dal fatto che un file di firma esista già.

Il ricercatore ha trovato il modo di indurre un processo privilegiato, ad esempio Microsoft Defender, ad aprire un log preparato da un utente normale. A quel punto CLFS crea il file di firma come SYSTEM, e quel file eredita i permessi del file originale. «Microsoft fa tutto correttamente qui, ma la logica consente l'abuso», ha dichiarato MSNightmare. Il write-up si spinge oltre, sostenendo che il bug «può essere usato per disattivare qualsiasi antivirus/EDR».

» Leggi anche: BigDiskBuster: il PoC che blocca gli aggiornamenti di Microsoft Defender Antivirus riempiendo il disco

Chi è esposto (e una stima da prendere con le pinze)

L'exploit è stato testato su Windows 11 26H2 e su build sperimentali di Windows 11 e Windows Server 2025. Secondo il README, risultano vulnerabili i sistemi con l'autenticazione CLFS in modalità di apprendimento o di enforcement, cioè con valori di Mode pari a 0 o 1 nella chiave di registro HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. I sistemi attivi da più di 90 giorni si trovano in genere in modalità enforcement.

Il ricercatore stima che l'80% delle installazioni Windows al mondo sia vulnerabile, ma non fornisce alcun dato a supporto di questa cifra: va quindi trattata come una stima personale e non verificata. La stessa cautela vale per l'intera vicenda, perché tutte le informazioni su SignDrop arrivano dal materiale pubblicato dal ricercatore. Non c'è, al momento, alcuna conferma indipendente da parte di Microsoft, di un secondo ricercatore o di un record CVE ufficiale.

Cosa fare adesso

Non esiste una correzione. Disabilitare la mitigazione CLFS non è consigliato: il ricercatore stesso avverte che esporrebbe le macchine ai vecchi bug di memory corruption che la firma HMAC serviva proprio a bloccare. Nell'attesa, l'indicazione è pragmatica: limitare l'accesso locale alle macchine, monitorare la comparsa di processi SYSTEM anomali e tenere d'occhio la creazione inattesa di file .cnpf. E, ovviamente, applicare la patch di Microsoft non appena sarà disponibile.

Finché Microsoft non si pronuncerà, SignDrop resta nel limbo: un proof of concept pubblico e funzionante secondo chi lo ha scritto, senza però alcuna validazione esterna e senza un numero CVE che lo renda ufficiale.

Fonti: securityonline.info, cybersecuritynews.com