据 BleepingComputer 报道，安全研究者 Abdelhamid Naceri（网名 Nightmare Eclipse）公开了名为 SignDrop 的 Windows 零日漏洞利用程序。攻击者可借此获得 SYSTEM 权限。它针对的是微软 2025 年 10 月为防御通用日志文件系统（CLFS）驱动认证类攻击而引入的缓解措施。Naceri 称，目前除等待微软补丁外没有其他办法。
SignDrop 利用的是上述 CLFS 缓解措施。Naceri 称，措施推出后，针对 CLFS 漏洞的攻击大幅减少，但措施本身引入了这个新漏洞。
据 Naceri 说明，问题出在 CLFS 创建新日志文件时生成认证文件（.cnpf）的方式。开始时的访问检查是正确的；如果之后由另一个高权限进程打开该日志文件，这套逻辑就可以被滥用。Windows Defender 等高权限进程可以被迫使打开这些文件，认证文件因此以 SYSTEM 权限创建，并沿用原文件的访问权限。
Naceri 表示，微软对这项缓解的实现本身没有做错，但「逻辑允许被滥用」。他称，如果各步衔接得当，这项安全缓解可以被用来对付它自己，从而实现权限提升。
他还称，这一手法可以对付任何反恶意软件引擎的自我保护（防篡改）机制：可以在反恶意软件进程自身的上下文中触发任意文件创建，从其内核驱动看来，请求来自自己的合法进程，因而会放行。Naceri 据此认为，该漏洞可以用来关闭任何杀毒软件或 EDR。
SignDrop 并不能用于所有 Windows 设备。Naceri 在 Windows 11 26H2、Windows 11 26H2 Experimental 和 Windows Server 2025 Experimental 上测试了该利用程序，并估计 80% 的 Windows 安装受影响。这一比例是研究者本人的估计。
他建议用下面两种方式自查：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode。若值为 0 或 1（学习模式或强制模式），则设备受影响。Naceri 称，目前除等待微软补丁外没有其他办法，因为关闭这项 CLFS 缓解措施会让设备暴露于内存破坏类漏洞攻击。
据 BleepingComputer 报道，Naceri 自称是前微软员工。自今年 4 月以来，他已公开 Microsoft Defender、BitLocker 等 Windows 组件中的多个零日，包括 BigDiskBuster、ShieldCrash、ShieldBreak、LegacyHive、RoguePlanet、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma 和 UnDefend。报道还写道，五年前他曾发布过多个可在不同 Windows 版本上提升权限的零日利用程序。
这些零日是在未先尝试私下报告的情况下公开的。此后微软警告，将对给其客户造成「实际伤害」的恶意活动采取法律行动。据 BleepingComputer 报道，不少信息安全圈人士认为，这是对该研究者的直接威胁。
微软已修复 Naceri 自今年初以来披露的部分漏洞，包括 ShieldBreak、RoguePlanet、YellowKey、GreenPlasma 和 MiniPlasma。其余零日仍没有官方补丁。
