SignDrop 概念验证利用 Windows CLFS 身份验证获取 SYSTEM 权限
研究者发布了本地提权概念验证，利用 CLFS 验证文件的创建过程及 Defender 的特权操作。研究者报告在部分 Windows 11 26H2 和 Windows Server 2025 构建上完成测试。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 攻击者能执行本地代码且 CLFS 身份验证处于学习或强制模式的 Windows 主机，模式范围来自研究者。
- Windows · CLFS · privilege escalation
- 在野利用
- 未知
- 研究者公开了概念验证。已查阅的来源未证实在野攻击。
发生了什么
研究者描述了 clfs.sys 的文件创建问题。普通本地用户准备 CLFS 日志及关联容器后，诱使 Defender 的特权操作打开它。该利用链通过在特权上下文创建 CLFS 验证文件来演示 SYSTEM 执行。公开说明列出的测试目标包括 Windows 11 26H2、Windows 11 26H2 Experimental 和 Windows Server 2025 Experimental。
模式检查是研究者提供的初筛线索。现有资料无法确定所有受影响构建或装机占比。本轮未核实到 Microsoft 为 SignDrop 分配 CVE 或公布专用修复构建的公告。Microsoft 的 CLFS 文档说明了既有保护措施，包括系统首次以相关驱动版本启动时开始的学习期。Microsoft 将 2 和 3 定义为禁用模式。评估研究者的说法时，请保持现有保护开启。
案发时间线
2026年11月10日
研究者发布 SignDrop 仓库和技术说明
公开仓库历史记录显示材料于 11 月 10 日 UTC 发布。研究者报告一条本地提权至 SYSTEM 的路径。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- SignDrop 研究者仓库一手来源给出研究者报告的攻击链、前提和测试情况。
- Microsoft CLFS 身份验证文档一手来源定义模式取值并说明该保护的作用。