Windows'un güvenlik mimarisinde bu kez tersine işleyen bir mekanizma tartışılıyor. Güvenlik araştırmacısı Abdelhamid Naceri (Nightmare Eclipse takma adıyla da biliniyor), SignDrop adını verdiği yeni bir Windows sıfır gün açığını BleepingComputer aracılığıyla kamuya açıkladı. Naceri'ye göre açık, saldırganlara SYSTEM yetkisi kazandırabiliyor; yani Windows'ta en üst düzey sistem haklarına erişim sağlanabiliyor.
İddiaya göre açığın kökeni Microsoft'un Ekim 2025'te yaptığı bir güvenlik sıkılaştırmasına dayanıyor. Şirket, Common Log File System (CLFS — Windows'un günlük dosyası sürücüsü) kaynaklı kimlik doğrulama saldırılarına karşı bir önlem devreye almıştı. Naceri, bu önlemin CLFS açıklarını kullanmaya çalışan saldırıları belirgin biçimde azalttığını, ancak yeni bir güvenlik açığı doğurduğunu söylüyor. Sorun, CLFS'in yeni bir günlük dosyası oluştururken ".cnpf" uzantılı kimlik doğrulama dosyasını yaratma biçiminde. Naceri'ye göre erişim denetimleri başlangıçta doğru uygulanıyor, fakat günlük dosyası daha sonra ayrıcalıklı bir süreç tarafından açıldığında bu mantık kötüye kullanılabiliyor.
Araştırmacı, Windows Defender gibi ayrıcalıklı süreçlerin dosyaları açmaya zorlanabildiğini, böylece kimlik doğrulama dosyasının SYSTEM yetkileriyle oluşturulduğunu belirtiyor. Naceri'ye göre yöntem, dosya oluşturma isteği antivirüs motorunun kendi meşru sürecinden geliyormuş gibi göründüğü için herhangi bir kötü amaçlı yazılım motorunun kendini koruma (tamper protection) mekanizmasına karşı da işliyor. Naceri, "Her şey doğru şekilde zincirlenirse, bu meşru güvenlik önlemi kendisine karşı kullanılarak ayrıcalık yükseltmeye imkân verebilir. Microsoft burada her şeyi doğru yapmış ama mantık kötüye kullanıma açık" diyor.
Açık her Windows makinesinde geçerli değil. Naceri, sömürüyü Windows 11 26H2, Windows 11 26H2 Experimental ve Windows Server 2025 Experimental üzerinde test ettiğini ve Windows kurulumlarının yaklaşık %80'inin savunmasız olduğunu tahmin ettiğini aktarıyor. Cihazın risk altında olup olmadığını anlamak için kavram kanıtı (PoC) sömürünün çalıştırılması ya da HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode kayıt değerinin kontrol edilmesi öneriliyor; değerin 0 veya 1 olması cihazı savunmasız bırakıyor.
Naceri'ye göre Microsoft'tan yama gelene kadar bir çözüm bulunmuyor; CLFS önlemini devre dışı bırakmak cihazları bellek bozulması açıklarına karşı savunmasız hale getirir. Araştırmacı, Nisan'dan bu yana Microsoft Defender, BitLocker ve diğer Windows bileşenlerinde çok sayıda sıfır gün açığını kamuya açıklamıştı. Bu tür açıklamalar, son dönemde N-able'ın N-central platformundaki 30'dan fazla sıfır günün ifşasıyla barındırılan ortamlarını çevrimdışına alması gibi olaylarla birlikte, yama süreçlerinin ne kadar kritik olduğunu yeniden gösteriyor.
