Peneliti keamanan Abdelhamid Naceri, yang juga dikenal dengan nama samaran MSNightmare atau Nightmare Eclipse, mempublikasikan celah keamanan zero-day baru pada sistem operasi Windows bernama SignDrop pada Selasa, 10 November 2026. Celah pada driver Common Log File System (CLFS) ini memungkinkan pengguna lokal berstatus standar mendapatkan hak akses tertinggi SYSTEM.
Publikasi celah tersebut bertepatan dengan jadwal rilis pembaruan keamanan rutin Microsoft pada bulan November. Hingga saat ini, Microsoft belum mengonfirmasi keberadaan celah SignDrop, belum memberikan nomor identifikasi CVE, dan belum merilis tambalan resmi. Katalog Known Exploited Vulnerabilities milik CISA juga belum mencatat adanya serangan aktif yang memanfaatkan celah ini.
Memanfaatkan Fitur Mitigasi CLFS dan Antivirus
SignDrop menyasar fitur pemeriksaan autentikasi file log yang ditambahkan Microsoft ke driver clfs.sys pada Oktober 2025 untuk Windows 11 25H2, Windows 11 26H1, dan Windows Server 2025. Microsoft awalnya merancang fitur berbasis hash-based message authentication code (HMAC) tersebut guna menekan maraknya serangan peningkatan hak akses dan ransomware yang mengeksploitasi komponen CLFS.
Dalam mekanisme autentikasi tersebut, sistem membuat file pendamping berekstensi .cnpf untuk menyimpan data pemulihan dengan atribut keamanan yang sama seperti file log aslinya. Naceri menemukan bahwa logika pembuatan file pendamping ini dapat disalahgunakan ketika proses lain yang memiliki hak akses tinggi, seperti layanan antivirus Windows Defender, dipaksa membuka file log yang telah disiapkan oleh pengguna standar.
Akibatnya, driver CLFS membuat file .cnpf dalam konteks keamanan SYSTEM tetapi tetap mewarisi izin akses milik pengguna standar sehingga file tersebut dapat dimodifikasi untuk mendapatkan akses penuh ke sistem. “Semuanya dilakukan dengan benar oleh Microsoft di sini, tetapi logikanya memungkinkan penyalahgunaan,” tulis Naceri. Ia menambahkan bahwa teknik ini berpotensi digunakan terhadap berbagai mesin antimalware lain untuk melewati fitur perlindungan mandiri (tamper protection) karena permintaan pembuatan file terlihat berasal dari proses resmi antivirus itu sendiri.
Versi Terdampak dan Verifikasi Independen
Naceri menguji celah ini pada Windows 11 26H2, Windows 11 26H2 Experimental, dan Windows Server 2025 Experimental. Ia memperkirakan sekitar 80 persen instalasi Windows rentan terhadap SignDrop.
Kepala riset firma keamanan asal Korea Selatan 78researchlab, Sungyup Nam, melaporkan bahwa peneliti mereka, Heewon Song dari tim PurpleHound, telah menguji celah tersebut secara independen. Song mengonfirmasi bahwa metode SignDrop benar-benar berfungsi ketika layanan Defender aktif, meskipun dinilai belum cukup stabil untuk penggunaan operasional. Efek sampingnya juga sangat mencolok di layar korban karena mengubah setiap jendela konfirmasi UAC menjadi jendela shell pengguna standar dan shell SYSTEM sekaligus memblokir tindakan lain.
Sejak April 2026, Naceri telah merilis serangkaian celah zero-day pada komponen Windows, Defender, dan BitLocker. Dua di antaranya telah dikonfirmasi dan ditambal oleh Microsoft, yaitu RoguePlanet (CVE-2026-50656) dan ShieldBreak (CVE-2026-69414).
Langkah Pemeriksaan untuk Administrator
Karena belum ada perbaikan resmi dari Microsoft, administrator sistem dan pengguna Windows disarankan mengambil langkah berikut:
- Periksa status paparan sistem melalui Registry Editor pada jalur
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authenticationdan lihat nilai padaMode. - Sistem berada dalam cakupan terdampak apabila nilai
Modetercatat sebagai0(mode penegakan/enforced) atau1(mode pembelajaran/learning). Instalasi Windows yang berusia lebih dari 90 hari umumnya beralih otomatis ke mode penegakan. - Jangan mengubah nilai
Modemenjadi2atau3untuk mematikan mitigasi autentikasi CLFS. Baik dokumentasi resmi Microsoft maupun peneliti memperingatkan bahwa menonaktifkan fitur ini justru membuka kembali celah korupsi memori CLFS lama yang jauh lebih berbahaya dan pernah dipakai dalam serangan ransomware. - Pantau panduan pembaruan keamanan resmi Microsoft untuk menunggu rilis tambalan permanen.
Sumber: The Hacker News, BleepingComputer. Gambar: Ilustrasi AI