Windows 防护被反过来利用：SignDrop 借杀毒软件拿到系统权限

本来用来挡住恶意日志的 Windows 防线，被研究者找到了反过来利用的办法。11月10日公开的 SignDrop 概念验证代码，声称能让已经进入电脑的普通用户借助 Defender 拿到 SYSTEM 系统级权限。韩国安全公司 78researchlab 随后报告成功复现，不过代码还不够稳定。

问题出在 Windows 的通用日志文件系统 CLFS。微软此前为它加入认证机制，防止被篡改的日志进入系统核心。研究者称，普通用户准备的日志被高权限程序处理时，认证文件会以系统权限生成，却保留普通用户可以写入的权限。原本负责守门的安全功能，就这样成了跨越权限边界的一环。

The Hacker News 11月12日的报道援引 78researchlab 研究负责人 Sungyup Nam：研究员 Heewon Song 测试后认为代码确实能运行，但不足以稳定用于实际业务。公开攻击链需要 Defender 开启，而且会异常改变系统的权限确认弹窗，容易被正在使用电脑的人察觉。攻击者必须先在本机运行代码，不能仅凭这个漏洞远程接管任意电脑。

截至该报道发布，微软尚未确认这一漏洞，也没有对应的 CVE 编号、官方补丁或已公开报告的实际攻击。普通用户不要为了检查风险运行陌生的漏洞代码，也不要自行关闭 CLFS 认证；关闭它会重新暴露原本要防住的恶意日志风险。组织管理员应关注微软后续公告，并优先限制不受信任程序在终端运行。

来源时间：SignDrop 完整研究说明提交于北京时间2026年11月11日07:37:18／美国东部时间2026年11月10日18:37:18（EST）；The Hacker News 报道发表于北京时间2026年11月13日01:50／美国东部时间2026年11月12日12:50（EST）；78researchlab 复现报告发表于北京时间2026年11月12日05:41:21／美国东部时间2026年11月11日16:41:21（EST）。