--- title: "SignDrop: Ungepatchte CLFS-Lücke hebt Windows-Nutzer auf SYSTEM-Rechte" date: 2026-11-13T02:21:43+01:00 modified: 2026-11-13T02:21:43+01:00 category: sicherheit type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/signdrop-windows-clfs-zero-day-system-rechte keywords: - Windows - CLFS - SignDrop - Zero-Day - Rechteausweitung - Windows Server 2025 - Nightmare Eclipse reading_time: 4 ai_notice: "Mit KI erstellt – redaktionelle Prüfung ausstehend" --- # SignDrop: Ungepatchte CLFS-Lücke hebt Windows-Nutzer auf SYSTEM-Rechte > Mit KI erstellt – redaktionelle Prüfung ausstehend ([KI-Transparenz](https://s-edv.com/ki-transparenz)) Ein Sicherheitsforscher hat unter dem Namen SignDrop einen Exploit für eine bisher nicht gepatchte Lücke im Windows-Treiber für das Common Log File System (CLFS) auf GitHub veröffentlicht. Laut der Beschreibung im Repository erlaubt die Lücke einem angemeldeten Standardnutzer, eine Shell mit SYSTEM-Rechten zu starten. Das Repository wurde am 10. November 2026 auf GitHub angelegt, BleepingComputer berichtete am 12. November 2026. Eine CVE-Nummer oder ein Update von Microsoft gibt es bisher nicht. Gefährdet sind Windows-Systeme, auf denen die CLFS-Authentifizierung aktiv ist, die Microsoft seit Oktober 2025 mit Windows 11 25H2 und Windows Server 2025 ausliefert. Es handelt sich um eine lokale Rechteausweitung, kein Angriff über das Netz. Für Mehrbenutzer-Systeme wie Terminalserver ist sie dennoch ernst zu nehmen. ## Was ist passiert? Microsoft hat für CLFS eine Härtung eingeführt, die Logdateien mit einem Authentifizierungscode (HMAC) absichert. Neben jeder Logdatei liegt dabei zusätzlich eine Datei mit der Endung `.cnpf`, die der Autor als Authentifizierungsdatei bezeichnet. Genau dort setzt SignDrop an. Laut der Beschreibung des Autors lässt sich ein privilegierter Prozess, im Proof of Concept der Virenscanner Microsoft Defender, über manipulierte symbolische Links im Objektmanager dazu bringen, einen vorbereiteten CLFS-Container zu öffnen. CLFS legt die fehlende `.cnpf`-Datei dann im Kontext dieses Prozesses als SYSTEM an. Der Autor schreibt, Microsoft habe dabei alles korrekt umgesetzt, die Logik lasse sich aber missbrauchen. BleepingComputer nennt als Autor den Forscher Abdelhamid Naceri, der unter dem Namen Nightmare Eclipse schon mehrere Windows-Zero-Days ohne Abstimmung mit Microsoft veröffentlicht hat. Eine Stellungnahme von Microsoft zu SignDrop lag in den gelesenen Quellen nicht vor. ## Wer ist betroffen? Der Autor hat den Exploit nach eigener Angabe auf Windows 11 26H2 sowie Experimental-Builds von Windows 11 26H2 und Windows Server 2025 getestet. Microsoft führt die CLFS-Authentifizierung für Windows 11 25H2, Windows 11 26H1 und Windows Server 2025. Maßgeblich ist laut Autor der Registry-Wert `Mode` unter `HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication`: - Wert 0 (Durchsetzung) oder 1 (Lernmodus): angreifbar. - Wert 2 (vom Admin abgeschaltet) oder 3 (vom System automatisch abgeschaltet): laut Autor nicht angreifbar. Die Schätzung des Autors, rund 80 Prozent aller Windows-Installationen seien betroffen, ist nicht unabhängig belegt. Systeme ohne diese CLFS-Version, etwa Windows 10, nennt keine der Quellen als betroffen. ## Wie kritisch ist das? Ein Angreifer braucht bereits Codeausführung als normaler Benutzer, etwa über Phishing oder ein kompromittiertes Konto. Danach hebt SignDrop ihn auf SYSTEM. Der Autor betont zusätzlich, dass die Technik den Selbstschutz von Virenscannern und EDR-Produkten aushebeln könne, weil die Dateien im Namen des Scanner-Prozesses entstehen. Das ist seine Darstellung und nicht unabhängig geprüft. Belege für Angriffe in freier Wildbahn nennen weder das Repository noch BleepingComputer. Da der Exploit-Code öffentlich ist, steigt das Risiko aber. ## Was sollten Admins jetzt tun? - Inventar: Systeme mit Windows 11 25H2 oder neuer und Windows Server 2025 erfassen und den Registry-Wert `CLFS\Authentication\Mode` auslesen, ohne den Exploit selbst auszuführen. - Die Härtung nicht vorschnell abschalten: Der Autor warnt, dass das System dann wieder für die älteren CLFS-Speicherfehler angreifbar ist. Microsoft rät von Wert 2 ebenfalls ab. - Lokale Codeausführung erschweren: Anwendungssteuerung, keine lokalen Adminrechte, Windows LAPS für lokale Konten. - Logs und EDR auf ungewöhnliche Prozesse mit SYSTEM-Rechten und auf Manipulationen am Virenschutz prüfen. - Den Security Update Guide von Microsoft auf einen Fix für SignDrop beobachten. Die November-Updates vom 10. November erschienen vor der Veröffentlichung und schließen die Lücke nach den gelesenen Quellen nicht. ## Einordnung für Unternehmen Auf einzelnen Arbeitsplätzen mit nur einem Benutzer ändert SignDrop weniger als auf Mehrbenutzer-Systemen, auch dort erleichtern SYSTEM-Rechte aber das Abschalten des Virenschutzes und das Festsetzen im System. Besonders kritisch sind Terminalserver, gemeinsam genutzte Rechner und Server, auf denen Dienstkonten mit wenig Rechten laufen. Bis Microsoft liefert, bleibt nur, die Wege zur ersten Codeausführung klein zu halten. ## Passende Anleitungen auf S-EDV - [Windows LAPS mit Entra ID und Intune: Lokale Adminpasswörter sicher verwalten](https://s-edv.com/anleitungen/windows-laps-entra-id-intune-lokale-adminpasswoerter) - [Nightmare Eclipse: Der Zero-Day-Forscher, der Microsoft seit Monaten vorführt](https://s-edv.com/news/nightmare-eclipse-zero-day-forscher-microsoft-705) ## Quellen - [GitHub: SignDrop, Beschreibung und Proof of Concept](https://github.com/MSNightmare/SignDrop) - [Microsoft: CLFS-Authentifizierung als Härtung](https://support.microsoft.com/en-us/servicing/os/windows/2025/03/common-log-file-system-clfs-authentication-mitigation) - [BleepingComputer: Bericht zu SignDrop](https://www.bleepingcomputer.com/news/security/new-windows-signdrop-zero-day-gives-hackers-system-privileges/)