Νέο zero-day κενό ασφαλείας στα Windows χαρίζει δικαιώματα System σε χάκερ

Συναγερμός έχει σημάνει στην κοινότητα της κυβερνοασφάλειας μετά τη δημόσια αποκάλυψη μιας νέας ευπάθειας μηδενικής ημέρας (zero-day) που επηρεάζει νεότερες εκδόσεις του λειτουργικού συστήματος Windows. Η ευπάθεια, η οποία βαφτίστηκε «SignDrop», επιτρέπει σε έναν τοπικό χρήστη με περιορισμένα δικαιώματα να αποκτήσει πλήρη έλεγχο επιπέδου System —το υψηλότερο επίπεδο προνομίων στο λειτουργικό σύστημα της Microsoft. Πίσω από τη διαρροή βρίσκεται ο ερευνητής ασφαλείας με το ψευδώνυμο Nightmare Eclipse, ο οποίος διατηρεί μια μακρά και δημόσια αντιπαράθεση με τον τεχνολογικό κολοσσό.

Πώς λειτουργεί ο μηχανισμός του SignDrop

Το κενό ασφαλείας εντοπίζεται στον τρόπο με τον οποίο αλληλεπιδρούν το σύστημα καταγραφής Common Log File System (CLFS), το Windows Defender και τα δικαιώματα αρχείων των Windows. Ο εισβολέας μπορεί να εξαναγκάσει μια διεργασία υψηλών προνομίων, όπως το ίδιο το ενσωματωμένο λογισμικό προστασίας, να ανοίξει ένα ειδικά διαμορφωμένο αρχείο καταγραφής (container) μέσω της νόμιμης λειτουργίας ServerMpUpdateEngineSignature, η οποία χρησιμοποιείται για την ενημέρωση υπογραφών ιών.

Χειραγωγώντας συμβολικούς συνδέσμους (symbolic links) στον Windows Object Manager, η επίθεση οδηγεί το Windows Defender να ανοίξει το εν λόγω αρχείο υπό το δικό του προνομιακό πλαίσιο ασφαλείας. Όταν απουσιάζει ένα απαραίτητο αρχείο ελέγχου ταυτότητας, το υποσύστημα CLFS το δημιουργεί με δικαιώματα System, αποδίδοντάς του όμως τη λίστα ελέγχου πρόσβασης (DACL) του αρχικού αρχείου. Με αυτόν τον τρόπο, ο απλός χρήστης αποκτά δικαιώματα διαχειριστή.

Το οξύμωρο της υπόθεσης είναι πως το συγκεκριμένο κενό ασφαλείας προέκυψε από μέτρα προστασίας που εφάρμοσε η ίδια η Microsoft τον Οκτώβριο του 2025 για την αντιμετώπιση παλαιότερων σφαλμάτων στο CLFS. Επιπλέον, το exploit παρουσιάζει την ιδιαιτερότητα ότι μπορεί να παρακάμψει μηχανισμούς αυτοπροστασίας (tamper protection) συστημάτων antivirus και EDR, καθώς η εντολή δημιουργίας του αρχείου φαίνεται να προέρχεται από την ίδια την έμπιστη διεργασία προστασίας.

Ποιες εκδόσεις των Windows επηρεάζονται

Σύμφωνα με τα στοιχεία που δημοσίευσε ο Nightmare Eclipse, ο κώδικας εκμετάλλευσης (proof-of-concept) λειτουργεί σε εκδόσεις όπως τα Windows 11 26H2, τα Windows 11 26H2 Experimental και τα Windows Server 2025 Experimental. Ωστόσο, η ευπάθεια δεν είναι άμεσα εκμεταλλεύσιμη σε κάθε εγκατάσταση.

Ο ανεξάρτητος ερευνητής κυβερνοασφάλειας Γουίλ Ντόρμαν επιβεβαίωσε ότι αναπαρήγαγε επιτυχώς το exploit, υπογραμμίζοντας όμως ότι υπάρχουν αυστηρές προϋποθέσεις. Όπως εξήγησε, η επίθεση απαιτεί συγκεκριμένες ρυθμίσεις στο μητρώο (Registry) των Windows και ειδικότερα η τιμή CLFS Authentication Mode να είναι ρυθμισμένη στο 0 ή στο 1. Παράλληλα, φαίνεται να απαιτείται η εγκατάσταση της έκδοσης 26H2 να είναι ενεργή για διάστημα άνω των 90 ημερών, γεγονός που περιορίζει προς το παρόν το εύρος των άμεσα ευάλωτων συστημάτων.

Καθώς η Microsoft διαθέτει τις νέες εκδόσεις των Windows σταδιακά στους χρήστες, παραμένει ασαφές πόσες συσκευές παγκοσμίως πληρούν τις προϋποθέσεις για την εκτέλεση της επίθεσης. Μέχρι στιγμής, εκπρόσωποι της εταιρείας δεν έχουν τοποθετηθεί επίσημα επί του θέματος, ενώ η κοινότητα αναμένει σχετική ενημέρωση ασφαλείας σε επερχόμενο κύκλο διορθώσεων.