Nightmare Eclipse adıyla bilinen güvenlik araştırmacısı Abdelhamid Naceri, Windows’taki yeni bir açığı hedefleyen SignDrop adlı saldırı kodunu yayımladı. Eski Microsoft çalışanı Naceri, kodu şirketin Kasım güvenlik güncellemelerinin çıktığı 10 Kasım 2026’da GitHub’a yükledi. Nisan ayından bu yana henüz yaması bulunmayan başka Windows açıklarını da kamuoyuyla paylaşıyor.
SignDrop’ın hedefinde, Windows’un günlük dosyalarını yöneten Common Log File System (CLFS) bulunuyor. Microsoft, bu dosyalarda izinsiz değişiklik yapılmasını önlemek için bir doğrulama mekanizması eklemişti. SignDrop ise mekanizmanın oluşturduğu dosyayı kötüye kullanıyor. Saldırı, Microsoft Defender’ın yüksek yetkilerle gerçekleştirdiği bir işlemi tetikleyerek bilgisayarda zaten standart kullanıcı olarak kod çalıştırabilen birinin SYSTEM yetkilerine ulaşmasını sağlayabiliyor. Bu, uzaktan tek başına bilgisayara giriş sağlayan bir açık değil; önce cihazda kod çalıştırma olanağı gerekiyor.
Güvenlik şirketi Cyderes, yayımlanan kodu test ederek SYSTEM yetkilerine ulaşılabildiğini doğruladı. Naceri, Windows kurulumlarının yaklaşık yüzde 80’inin etkilenebileceğini öne sürüyor; ancak Cyderes bu oranı doğrulayacak yayımlanmış veri bulunmadığını belirtiyor. Araştırmacının test ettiği sürümler arasında Windows 11 26H2 ve Windows Server 2025’in deneysel sürümü yer alıyor. Dolayısıyla açığın bütün Windows bilgisayarlarını etkilediği söylenemiyor.
SignDrop için Kasım güncellemelerinde özel bir düzeltme yayımlanmadı. Microsoft, açığı araştırdığını ve Defender’ın bu saldırıyı tespit edip engellediğini açıkladı. Şirket, gerçek saldırılarda kullanıldığına dair bir bulgu görmediğini de belirtti. CLFS doğrulamasını kapatmak ise güvenli bir geçici çözüm sayılmıyor; bu işlem, mekanizmanın önlemek için tasarlandığı eski riskleri yeniden ortaya çıkarabilir.
Kaynak: www.techspot.com