Foto di Charles Asselin.

Una vulnerabilità 0-day di Windows 11 sta attirando l'attenzione perché consente a un utente con privilegi ordinari di ottenere i diritti SYSTEM, il livello di autorizzazione più elevato disponibile nel sistema operativo Microsoft. La falla, denominata SignDrop, è stata resa pubblica insieme a una prova funzionante e, al momento, Microsoft ha dichiarato di essere al lavoro per analizzarne i dettagli. La vulnerabilità è stata divulgata dal ricercatore indipendente noto con lo pseudonimo di Nightmare Eclipse, già protagonista di diverse pubblicazioni di vulnerabilità Windows nel corso del 2026. Il ricercatore è entrato in contrasto con Microsoft dopo una controversia legata a un precedente programma di ricompensa per la segnalazione di bug; da allora ha scelto di pubblicare direttamente i dettagli tecnici delle falle individuate anziché seguire il tradizionale processo di divulgazione coordinata.

SignDrop interessa il componente Common Log File System (CLFS), un sottosistema di registrazione integrato in Windows utilizzato sia da applicazioni in modalità utente sia da componenti operanti a livello kernel. Storicamente CLFS è stato più volte preso di mira dai criminali informatici perché gestisce strutture dati complesse e rappresenta una superficie d'attacco particolarmente interessante per ottenere privilegi elevati sul sistema. Secondo la documentazione pubblicata dal ricercatore, l'exploit sfrutta l'interazione tra CLFS, Windows Defender e il meccanismo delle autorizzazioni dei file. L'obiettivo è indurre un processo privilegiato ad aprire un contenitore CLFS appositamente preparato da un utente non privilegiato. In questo scenario un'operazione apparentemente legittima viene eseguita nel contesto di sicurezza del processo con privilegi elevati, creando le condizioni per una escalation delle autorizzazioni.

Più precisamente, l'attacco fa leva sulla funzione ServerMpUpdateEngineSignature di Windows Defender, normalmente utilizzata per la gestione degli aggiornamenti delle firme antivirus. Attraverso una combinazione di percorsi manipolati e collegamenti simbolici del gestore degli oggetti di Windows, l'aggressore può costringere Defender ad aprire file CLFS preparati in precedenza. Se un certo file di autenticazione associato non è presente, il sistema lo genera automaticamente utilizzando i privilegi SYSTEM del motore antimalware. Il problema nasce dal modo in cui CLFS assegna le autorizzazioni al nuovo file: il file appena creato eredita infatti la lista di controllo degli accessi dell'elemento originale. Questa logica può consentire all'utente che ha predisposto il contenitore di ottenere accesso a un file creato con privilegi SYSTEM e utilizzare tale possibilità per completare l'escalation di privilegi.

Uno degli aspetti più insoliti della vicenda è che la vulnerabilità deriverebbe da una misura di sicurezza introdotta da Microsoft nel 2025 proprio per limitare gli abusi di CLFS. In altre parole, secondo il ricercatore, la protezione progettata per ostacolare precedenti attacchi potrebbe essere sfruttata per ottenere il risultato opposto: «Se tutti gli elementi vengono concatenati correttamente, in modo quasi ironico questa legittima mitigazione di sicurezza può essere utilizzata contro sé stessa e consentire un'elevazione dei privilegi. Tutto è stato realizzato correttamente da Microsoft, ma la logica consente l'abuso».

Ti raccomandiamo anche:

Windows 11, problemi con l'aggiornamento KB5132061

Windows 11, Memory Integrity si attiva in automatico. Possibili problemi per i v...

Linux, vulnerabilità critiche rese pubbliche prima delle correzioni

Windows più sicuro grazie alla IA: la patch di settembre corregge quasi 1.0...

Nightmare Eclipse sostiene inoltre che la tecnica possa essere utilizzata contro i sistemi di autoprotezione di diversi software di sicurezza: «Ciò che rende la situazione ancora più curiosa è che può essere utilizzata contro qualsiasi motore antimalware per aggirare i relativi meccanismi di autodifesa, perché è possibile attivare la creazione arbitraria di file nel contesto del processo antimalware stesso». SignDrop è stato testato su Windows 11 26H2, Windows 11 26H2 Experimental e Windows Server 2025 Experimental. Tuttavia, l'effettiva esposizione potrebbe essere più limitata rispetto a quanto inizialmente ipotizzato. Il ricercatore Will Dormann, che ha verificato autonomamente il funzionamento dell'exploit, ha confermato di essere riuscito a riprodurre l'attacco, precisando però che la vulnerabilità non risulta sfruttabile su tutte le installazioni di Windows 11.

Dormann ha spiegato che una delle condizioni osservate durante i test riguarda sistemi installati da oltre 90 giorni. Nelle sue parole: «I requisiti sono importanti, perché sembra richiedere Windows 26H2 e un'installazione esistente da più di 90 giorni. Non basta prendere un sistema 26H2 appena installato e aggiornato per ottenere lo stesso risultato». Un ulteriore requisito riguarda una specifica impostazione del Registro di sistema associata all'autenticazione CLFS. Secondo le verifiche effettuate, il sistema risulta vulnerabile soltanto quando il valore corrispondente opera in determinate modalità di apprendimento o applicazione delle regole. Lo stesso Dormann ha riferito che, tra numerosi sistemi in suo possesso, solo uno soddisfaceva le condizioni necessarie alla riuscita dell'exploit.

Dopo la pubblicazione dei dettagli tecnici, Microsoft ha confermato di essere a conoscenza delle segnalazioni e ha comunicato di stare analizzando la documentazione resa pubblica; ha inoltre dichiarato di non avere prove che la vulnerabilità stia venendo attivamente sfruttata nel mondo reale e ha aggiunto che Windows Defender è in grado di bloccare potenziali tentativi di utilizzo dell'exploit. La situazione resta comunque sotto osservazione perché la disponibilità pubblica di una proof of concept funzionante riduce sensibilmente il tempo necessario affinché eventuali malintenzionati possano studiare la tecnica e tentare di adattarla a campagne d'attacco reali.

Articoli suggeriti:

Windows ha un comando nascosto che riduce l'ingombro del sistema

Grave falla in macOS con la condivisione schermo

Grave falla in Zoom: un file condiviso può eseguire codice e compromettere ...

Lo script gratuito che blocca l'identificatore univoco di Windows