要点
- Windows の権限昇格の欠陥「SignDrop」の実証コード（PoC）が、修正の前に GitHub で公開された。
- 成功すると、パソコンの最上位の権限である SYSTEM を奪え、ウイルス対策ソフトの自己防衛も外せると、公開した本人は主張している。
- 現時点で、実際の攻撃に使われた報告は確認できない。Microsoft の修正も、確認できていない。
何が起きたか
Nightmare Eclipse と名乗る研究者が、Windows の欠陥「SignDrop」の PoC を GitHub に公開した。BleepingComputer が 2026 年 11 月 12 日に報じた。同メディアによると、この研究者は 4 月以降、Microsoft Defender、BitLocker、そのほかの Windows の部品について、多数のゼロデイ（修正前の欠陥）を公開している。
欠陥があるのは、CLFS（Windows がログを記録するための部品）のドライバーである clfs.sys だ。Microsoft は CLFS への攻撃を減らすため、認証の仕組みを 2025 年 10 月 28 日から正式な配布経路で提供している。研究者の README は、この対策が新しい欠陥を持ち込んだと述べる。ただし、Microsoft の実装は正しく、その論理が悪用できるのだという。README によると、ログの認証に使うファイルが、権限の高い処理の中で作られてしまう。
SYSTEM を奪われると、機器を思いどおりに動かされかねない。すでにパソコンに入り込んだ攻撃者にとって、大きな足がかりになる。研究者は、この手口がどのウイルス対策ソフトの自己防衛にも通じると主張している。この点は、こちらでは確かめていない。
影響の条件も README にある。CLFS の認証の設定値が 0 か 1 だと影響を受け、2 か 3 なら受けないという。研究者は、世界の Windows の約 80% が該当し、導入から 90 日以上たったものは一般に該当すると推定している。これは本人の見積もりだ。検証は Windows 11 26H2 と、Windows Server 2025 の試験版で行われた。
これは、外から入り込む欠陥ではない。攻撃者が先に、そのパソコンで何かを動かせることが前提だ。ただ、別の欠陥やだまされた実行と組み合わされると、被害が大きくなる。
日本の利用者への影響
Windows は日本でも使われる製品だ。ただし、日本での被害や影響の有無について、今回の資料には記述がない。公開された欠陥の対象は Windows の標準の部品であり、国を問わず当たりうる。
今すぐやること
- Microsoft の更新プログラムの案内を毎日確認する。修正が出たら、すぐ入れる。
- 業務用のパソコンでは、不審なプログラムを実行させない運用を、いつもより厳しくする。この欠陥は、侵入後の拡大に使われるためだ。
- ウイルス対策ソフトや EDR（端末の不審な動きを監視する製品）の警告を、見逃さない。自己防衛が外される可能性が、研究者から指摘されている。
- 自分の環境が当たるかは、詳細の設定値で確かめる。ただし、PoC を社内で動かすのは、管理者の許可と隔離した環境がある場合だけにする。
- 研究者は、CLFS の認証の仕組みを切らないよう勧めている。ほかの欠陥にさらされるためだ。
背景
この研究者は、BlueHammer・RoguePlanet・MiniPlasma など、多くの欠陥を公開してきた。BleepingComputer によると、ShieldBreak・RoguePlanet・YellowKey・GreenPlasma・MiniPlasma は Microsoft が修正したが、修正されていないものもある。Microsoft は、公開された欠陥による実害について、法的措置を警告したことがある。
攻撃を防ぐための仕組みが、新たな欠陥の入り口になる例は、以前からある。今回も、その一つだ。
技術者向けの詳細
- 対象:
clfs.sysが.cnpf認証ファイルを作る処理。README は、権限の高い処理の中でファイル作成を起こせると主張している。 - 設定値:
HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode- 0 または 1: 影響を受ける（README）
- 2 または 3: 影響を受けない（README）
- README は、強制モードでも脆弱だと書いている。2 と 3 を強制モードと呼ぶ記述はない。
- 検証環境: Windows 11 26H2、26H2 Experimental、Windows Server 2025 Experimental
- CVE 番号・Microsoft の advisory: 今回の資料には記載がない。
- 悪用の確認: 今回の資料には記載がない。
- 設定を勝手に変えると、CLFS のメモリ破壊の欠陥にさらされる、と README は注意している。
- 本件の情報は、公開者の README の主張が中心で、第三者の検証は確認できていない。
