Un nuevo zero-day de Windows, SignDrop, da privilegios SYSTEM y puede desactivar antivirus

El investigador Nightmare Eclipse estima que 80 % de las instalaciones de Windows son vulnerables. La falla nace de una mitigación que Microsoft añadió en 2025 y todavía no tiene parche.

El investigador Abdelhamid Naceri, conocido como Nightmare Eclipse, publicó un exploit para una nueva vulnerabilidad sin parche de Windows, llamada SignDrop, que permite a un atacante elevar sus privilegios hasta SYSTEM, informó BleepingComputer el 12 de noviembre de 2026.

La falla está en una mitigación que Microsoft añadió en octubre de 2025 al controlador Common Log File System (CLFS) para frenar ataques contra ese componente. Según Naceri, CLFS verifica bien los permisos al inicio, pero si un proceso privilegiado, como Windows Defender, abre después el archivo de registro, el archivo de autenticación .cnpf se crea con privilegios SYSTEM. Por eso, dice, la técnica sirve para burlar la autoprotección de cualquier antivirus o EDR.

Naceri probó el exploit en Windows 11 26H2 y en versiones experimentales de Windows 11 y Windows Server 2025, y estima que 80 % de las instalaciones de Windows son vulnerables. Un equipo lo es si el valor de registro CLFS\Authentication\Mode está en 0 o 1. No hay solución más allá de esperar el parche, porque desactivar la mitigación expondría los equipos a fallas de corrupción de memoria.

El investigador, que dice ser exempleado de Microsoft, ha divulgado desde abril una larga lista de zero-days en Defender, BitLocker y otros componentes sin reportarlos antes en privado. Microsoft ha corregido algunos, como ShieldBreak, RoguePlanet y YellowKey.

Fuente: BleepingComputer: «New Windows SignDrop zero-day gives hackers SYSTEM privileges», 12 de noviembre de 2026.