月例更新と同日に公開、Windowsの未修正ゼロデイ「SignDrop」でSYSTEM権限奪取か

　研究者の「MSNightmare」（Nightmare Eclipse）が、Windowsの共通ログファイルシステム（CLFS）ドライバーに未修正の脆弱性があると主張し、権限昇格を実証するコード（PoC）をGitHubで公開した。研究者は「SignDrop」と名付け、一般ユーザー権限からシステム最上位のSYSTEM権限を得られるとしている。公開は11月10日で、マイクロソフトが11月の月例セキュリティ更新プログラムを公開した日と重なった。

　CLFSは、Windowsが内部で使うログ記録の仕組みである。マイクロソフトは2025年10月28日、Windows 11 25H2とWindows Server 2025の更新で、このドライバーに認証機能を追加した。ログファイルに認証コードを付け、ドライバー自身が書き込んだ以外のファイルは読み込まないようにする、というものだ。

　研究者によると、SignDropはこの認証機能が付随ファイルを作る処理の論理の欠陥を突くもので、認証機能が有効な環境が対象になるという。「マイクロソフトの実装は適切に行われているが、その論理が悪用を許す」と書いている。Windows 11 26H2や、Windows 11とWindows Server 2025の試験版で動作を確認したとしており、世界のWindows環境の約8割が影響を受けるとの推定も示している。ただし、この推定を裏づけるデータは示していない。

　研究者はさらに、同じ手法でマルウェア対策ソフトの自己防御を回避できるとも主張している。

　一方、マイクロソフトは主張を確認しておらず、共通脆弱性識別子（CVE）の採番も、修正プログラムの提供もない。11月の月例更新にも対応は含まれていない。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の悪用確認済み脆弱性カタログにも載っておらず、このコードを使った攻撃の報告もないという。