Исследователи Cyderes воспроизвели SignDrop — способ получить высшие системные права в Windows, используя механизм, который Microsoft добавила для защиты от взлома. В разборе от 12 ноября команда описала успешный запуск из обычной пользовательской учётной записи. Автор SignDrop, известный как MSNightmare, опубликовал код 10 ноября. Для атаки уже нужна возможность запускать программы на компьютере: удалённый захват машины этим исследованием не показан.

Проблема находится в Common Log File System — встроенной системе ведения журналов. С октября 2025 года Microsoft добавляет к ним криптографическую проверку целостности: прежде чем разбирать содержимое журнала, Windows должна убедиться, что его не подменили. SignDrop использует саму процедуру создания сопутствующего служебного файла.

По описанию автора, обычный пользователь сначала готовит журнал, а затем заставляет Windows Defender открыть его со своими повышенными правами. При перенаправлении пути служебный файл создаётся в защищённом месте от имени SYSTEM, но сохраняет разрешения, позволяющие пользователю менять его содержимое. Подменив это содержимое своей библиотекой, демонстрационный код добивается её загрузки привилегированным процессом. Cyderes подтвердила всю цепочку и появление командной оболочки с правами SYSTEM: проверки отдельных операций не помешали использовать полномочия защитного процесса в интересах обычного пользователя.

У результата есть существенные границы. Автор сообщает о тестах на Windows 11 26H2 и экспериментальных сборках Windows 11 и Windows Server 2025; точную долю уязвимых компьютеров исследование не устанавливает. Команда 78researchlab также получила работающую демонстрацию, но сочла её недостаточно стабильной: она требует включённого Defender и нарушает обычную работу окон подтверждения повышения прав.

На момент своего разбора Cyderes сообщала об отсутствии исправления и присвоенного CVE; подтверждения применения SignDrop в реальных атаках в отчёте нет. Отключение защиты журналов исследователи не считают безопасным выходом: оно возвращает риск тех атак через подменённые журналы, против которых эту проверку и вводили.