Nhà nghiên cứu Abdelhamid Naceri công bố lỗ hổng zero‑day SignDrop, cho phép tài khoản người dùng thông thường trên Windows tạo ra quyền SYSTEM bằng cách lợi dụng tính năng xác thực CLFS của Microsoft.
Vào ngày 10 tháng 11, nhà nghiên cứu an ninh Abdelhamid Naceri – còn được biết với các bí danh Nightmare Eclipse và MSNightmare – đã công bố mã nguồn chứng minh (PoC) của lỗ hổng zero‑day có tên SignDrop trên GitHub. Ngay sau đó, một số nhà nghiên cứu độc lập đã xác nhận khả năng tái tạo khai thác, dù mức độ tin cậy và khả năng tương thích còn hạn chế. Microsoft xác nhận đang xem xét vấn đề và khẳng định Microsoft Defender có thể phát hiện và chặn các nỗ lực khai thác.
SignDrop nhắm vào Common Log File System (CLFS), một thành phần quản lý các tệp nhật ký của ứng dụng và dịch vụ hệ thống. Vào tháng 10/2025, Microsoft đã bổ sung cơ chế xác thực bằng mã xác thực mật mã để ngăn việc sửa đổi nhật ký trước khi được xử lý. Lỗ hổng lợi dụng cách hệ thống tạo tệp .cnpf – tệp phục hồi – khi một quy trình có quyền cao như dịch vụ antimalware của Defender mở một tệp nhật ký được chuẩn bị sẵn. Khi Windows tạo tệp xác thực thiếu, nó sử dụng quyền của quy trình đó, cho phép người dùng ban đầu ghi tệp với quyền SYSTEM.
Bằng cách này, PoC có thể khởi chạy một cửa sổ dòng lệnh với danh tính NT AUTHORITYSYSTEM, cấp quyền cao nhất trên máy. Naceri cho rằng khoảng 80 % các cài đặt Windows có thể bị ảnh hưởng, nhưng con số này chưa được xác nhận độc lập. Công ty bảo mật 78researchlab đã chứng minh khai thác hoạt động trên Windows 11 bản 26H2 và Windows Server 2025 phiên bản thử nghiệm, tuy nhiên họ ghi nhận độ tin cậy chưa đủ để sử dụng trong môi trường thực tế và yêu cầu Defender phải bật để chuỗi tấn công diễn ra.
Hiện tại, SignDrop chưa được gán mã CVE và chưa có bản vá riêng. Microsoft khuyến cáo không tắt tính năng xác thực CLFS vì việc này sẽ làm mất lớp bảo vệ khỏi các lỗ hổng cũ của CLFS. Thay vào đó, người dùng nên duy trì cập nhật Windows và Microsoft Defender, đồng thời tránh cài đặt phần mềm không rõ nguồn gốc. Các cảnh báo UAC bất thường khi khai thác cũng giúp người dùng nhận diện hành vi khả nghi.
Lỗ hổng này cho thấy một cơ chế bảo mật mới có thể trở thành kênh tấn công nếu không được triển khai cẩn thận. Dù chưa có bằng chứng về các cuộc tấn công thực tế, việc Microsoft nhanh chóng đưa ra lời khẳng định và theo dõi sẽ giảm nguy cơ lan truyền. Các doanh nghiệp và người dùng cá nhân ở Việt Nam nên chú ý đến các bản cập nhật bảo mật tiếp theo và cân nhắc triển khai các giải pháp phòng thủ bổ sung.
Góc nhìn TechTimes
TechTimes cho rằng SignDrop là một ví dụ điển hình cho rủi ro khi các biện pháp bảo mật mới không được kiểm thử đầy đủ trước khi triển khai. Nếu lỗ hổng này được khai thác trên quy mô lớn, việc nâng quyền từ tài khoản người dùng thường lên SYSTEM có thể gây ra mất kiểm soát toàn bộ hệ thống, đặc biệt đối với các doanh nghiệp sử dụng Windows Server. Ở Việt Nam, nơi nhiều tổ chức vẫn dựa vào Windows 10/11 và chưa kịp cập nhật các bản vá, nguy cơ bị ảnh hưởng có thể cao. TechTimes dự đoán Microsoft sẽ phát hành bản cập nhật khắc phục trong các bản cập nhật tháng tới và khuyến nghị người dùng duy trì Defender bật và cẩn trọng với phần mềm không rõ nguồn gốc.
