SignDrop : un 0-day Windows sans correctif donnerait les droits System
Un chercheur en conflit ouvert avec Microsoft a publié mardi SignDrop, une faille de Windows qui permettrait à un simple utilisateur local d'obtenir les droits System. Aucun correctif n'est annoncé à ce stade, mais les conditions d'exploitation restreignent nettement le nombre de machines exposées.
Cette information repose sur une source unique, un article d’Ars Technica publié le 13 novembre 2026 ; elle est donc à lire avec la prudence correspondante. Selon le média, un chercheur opérant sous le pseudonyme Nightmare Eclipse a divulgué mardi une vulnérabilité baptisée SignDrop, accompagnée d’une preuve de concept. Ce chercheur aurait déjà publié de nombreux autres 0-day Windows ces derniers mois.
Ce que l’exploit permet
La faille se situerait dans le Common Log File System (CLFS), le service de journalisation généraliste de Windows, utilisé aussi bien en mode utilisateur qu’en mode noyau. Le principe : amener un processus privilégié à ouvrir un conteneur CLFS spécialement préparé par un utilisateur ordinaire.
Le processus privilégié en question serait Windows Defender. L’exploit appellerait une fonction légitime de l’antivirus, ServerMpUpdateEngineSignature, prévue pour traiter les mises à jour de signatures. En manipulant des liens symboliques du gestionnaire d’objets de Windows, l’attaquant ferait ouvrir le conteneur dans le contexte de sécurité du moteur antimalware. Si le fichier d’authentification associé manque, CLFS le crée avec les privilèges System de Defender, tout en lui appliquant la liste de contrôle d’accès du fichier d’origine. L’attaquant aurait ainsi la main sur un fichier créé avec les droits System, point de départ de l’élévation de privilèges.
D’après Ars Technica, la vulnérabilité découlerait d’une mesure de sécurité introduite par Microsoft en octobre 2025, précisément pour empêcher l’exploitation d’autres failles de CLFS. Le chercheur affirme en outre que la technique pourrait servir à désactiver n’importe quel antivirus ou EDR, la création de fichier semblant provenir de leur propre processus.
Qui est exposé
L’attaque est locale : elle suppose de disposer déjà d’un compte utilisateur sur la machine. Nightmare Eclipse indique que son exploit fonctionne sur Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental.
Le chercheur Will Dormann a déclaré à Ars Technica avoir reproduit l’exploit, qui fonctionnerait comme décrit, mais pas sur toutes les versions de Windows 11. Selon lui, il faudrait un système en 26H2 existant depuis plus de 90 jours : une installation neuve mise à jour ne suffirait pas. Sur les nombreuses machines qu’il utilise, une seule remplissait les conditions.
Microsoft déploie 26H2 par vagues, ce qui rend le nombre de machines concernées difficile à estimer.
Ce que vous pouvez vérifier en attendant Microsoft
La source ne mentionne ni correctif ni mesure de contournement officielle. Elle donne en revanche deux vérifications :
- la commande
winverindique si votre système est en 26H2 ; - la valeur
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode: à 0 ou 1, le système serait vulnérable, d’après Will Dormann.
Dans une déclaration transmise à Ars Technica après publication, Microsoft dit examiner l’analyse du chercheur et n’avoir aucune preuve d’exploitation active. L’éditeur ajoute que Defender bloque les tentatives d’exploitation potentielles.
Reste un constat : une protection ajoutée pour fermer des failles de CLFS en aurait ouvert une nouvelle. Le correctif attend désormais le sien.
Sources (1)
Article rédigé avec l'assistance d'une IA à partir des sources citées, puis relu et validé avant publication par Sébastien Soulier.
