חוקר האבטחה עבדלחמיד נאסרי, המוכר בכינוי Nightmare Eclipse, פרסם ב־GitHub קוד ניצול (PoC) לחולשת יום אפס חדשה ב־Windows, שקיבלה את השם SignDrop. לפי החוקר, החולשה מאפשרת לתוקף שכבר הצליח להריץ קוד במחשב לקבל הרשאות SYSTEM – הרמה הגבוהה ביותר במערכת. נכון לפרסום הדיווחים ב־12 בנובמבר 2026, Microsoft לא פרסמה תיקון ולא התייחסה רשמית לחולשה.
מה בדיוק התגלה
החולשה נמצאת ברכיב Common Log File System (CLFS) – מנהל התקן של Windows שמנהל קובצי יומן. באוקטובר 2025 הוסיפה Microsoft לרכיב מנגנון אימות, אחרי שורה של מתקפות שניצלו בו חולשות זיכרון. לדברי נאסרי, מספר המתקפות על CLFS ירד בחדות בעקבות ההגנה – אבל ההגנה עצמה יצרה פרצה חדשה.
לפי ההסבר שפרסם, הבעיה היא באופן שבו CLFS יוצר קובץ אימות (.cnpf) כשנוצר קובץ יומן חדש. בדיקות ההרשאה מתבצעות נכון בהתחלה, אבל אם תהליך בעל הרשאות גבוהות פותח את הקובץ בהמשך, אפשר לגרום לכך שהקובץ ייווצר בהרשאות SYSTEM. לטענת החוקר, אפשר "לגרור" לתרחיש כזה גם את Windows Defender.
למה זה מדאיג במיוחד
נאסרי טוען שהטכניקה עוקפת את מנגנון ההגנה העצמית (Tamper Protection) של כל מנוע אנטי־וירוס או EDR, משום שבקשת יצירת הקובץ נראית כאילו הגיעה מהתהליך הלגיטימי של תוכנת האבטחה עצמה. כך אפשר, לדבריו, לנטרל אותה. לפי BleepingComputer, הוא בדק את הניצול על Windows 11 בגרסה 26H2 ועל גרסאות ניסיוניות של Windows 11 ו־Windows Server 2025, ומעריך שכ־80% מהתקנות Windows פגיעות. חשוב להדגיש: אלה טענות והערכות של החוקר, ו־Microsoft לא אישרה אותן.
יש גם נקודה מרגיעה יחסית: מדובר בחולשה מסוג הסלמת הרשאות מקומית. כדי לנצל אותה, התוקף צריך כבר להריץ קוד במחשב – למשל דרך קובץ זדוני שהמשתמש פתח או נוזקה שהותקנה. החולשה לא מאפשרת פריצה מרחוק לבדה, אבל היא כלי רב עוצמה בשלב השני של מתקפה.
רקע: סכסוך פתוח עם Microsoft
נאסרי, שלדבריו עבד בעבר ב־Microsoft, פרסם מאז אפריל 2026 שורה ארוכה של חולשות יום אפס ב־Windows, ב־Microsoft Defender וב־BitLocker, בלי לדווח עליהן קודם לחברה. Microsoft תיקנה חלק מהן, ובהן ShieldBreak, RoguePlanet, YellowKey, GreenPlasma ו־MiniPlasma, אבל אחרות עדיין ללא תיקון רשמי. בעקבות הפרסומים הזהירה החברה מפני צעדים משפטיים נגד מי שגורם "נזק ממשי" ללקוחותיה.
מה אפשר לעשות עד שיגיע תיקון
- אין לבטל את מנגנון ההגנה של CLFS. לדברי החוקר עצמו, ביטולו יחשוף שוב את המחשב לחולשות הזיכרון שבגללן נוסף.
- עבודה בחשבון משתמש רגיל ולא בחשבון מנהל לשימוש יומיומי – כך קשה יותר להגיע לשלב שבו החולשה רלוונטית.
- לא להריץ קבצים ותוכנות ממקורות לא מוכרים, כולל "תוכנות פרוצות" וקבצים מצורפים לא צפויים – זו הדרך הנפוצה שבה תוקף משיג את דריסת הרגל הראשונית.
- בארגונים: לעקוב אחרי התראות על יצירת קבצים חריגה של CLFS ועל ניסיונות לכבות כלי EDR, ולהתקין את התיקון של Microsoft מיד כשיפורסם.
- לפי החוקר, ערך 0 או 1 במפתח הרישום HKLMSYSTEMCurrentControlSetServicesCLFSAuthenticationMode מעיד שהמחשב פגיע. אין להריץ את קוד הניצול עצמו כדי "לבדוק" מחשב.
מקורות
- GitHub – SignDrop (פרסום החוקר)
- BleepingComputer – New Windows SignDrop zero-day gives hackers SYSTEM privileges (12.11.2026)
- The Hacker News – SignDrop zero-day exploit (12.11.2026)
הערת המערכת: תמונת השער נוצרה באמצעות בינה מלאכותית לצורכי המחשה בלבד ואינה תיעוד מצולם של האירוע.
