El investigador de seguridad Abdelhamid Naceri, conocido también como Nightmare Eclipse, ha publicado un nuevo exploit de día cero (zero-day) para Windows, bautizado como SignDrop, que permite a un atacante obtener privilegios SYSTEM, el nivel más alto del sistema. Lo ha publicado él mismo en su repositorio de GitHub, y lo ha recogido BleepingComputer el jueves 12 de noviembre de 2026.
Lo llamativo es de dónde sale el fallo. SignDrop aprovecha las mitigaciones que Microsoft introdujo en octubre de 2025 para proteger el controlador Common Log File System (CLFS) frente a ataques de autenticación dirigidos a sus vulnerabilidades. Según el investigador, los ataques contra fallos de CLFS cayeron en picado tras esa mitigación, pero la propia mitigación abrió este nuevo agujero.
La protección que Microsoft añadió a CLFS es la que abre la puerta
El problema, según explica el investigador, está en cómo gestiona CLFS la creación del archivo de autenticación «.cnpf» cuando genera un nuevo archivo de registro. Al principio, el controlador hace bien las comprobaciones de acceso. La lógica se puede retorcer si después es otro proceso, uno con privilegios, el que abre ese archivo de registro.
Ahí entra la cadena completa. El investigador sostiene que se puede forzar a procesos privilegiados como Windows Defender a abrir esos archivos, de modo que el archivo de autenticación se crea con privilegios SYSTEM, y CLFS lo crea además con los permisos de acceso del archivo original. El resultado es una elevación de privilegios construida con piezas que, por separado, funcionan como deben.
Él mismo lo resume así: «Si todo se encadena correctamente, curiosamente, esta mitigación de seguridad legítima se puede usar contra sí misma y permitir una elevación de privilegios. Microsoft lo ha hecho todo correctamente aquí, pero la lógica permite el abuso».
Su descubridor asegura que la técnica sirve para desactivar cualquier antivirus o EDR
La parte que más preocupa va más allá de la elevación de privilegios. Según el investigador, la técnica funciona contra la autodefensa (protección contra manipulaciones) de cualquier motor antimalware, porque la petición de crear el archivo parece venir del propio proceso legítimo del motor.
«Lo que lo hace más gracioso es que se puede usar contra cualquier motor antimalware para saltarse su mecanismo de autodefensa (o protección contra manipulaciones), ya que puedes provocar la creación arbitraria de archivos en el contexto de su propio proceso antimalware, así que, desde el punto de vista de sus controladores de kernel, la petición viene de su propio proceso legítimo y pasa», explica. Y remata: «esto hace que esta vulnerabilidad sea única, ya que se puede usar para desactivar cualquier antivirus o EDR».
El investigador calcula que el 80 % de las instalaciones de Windows son vulnerables
SignDrop no funciona en todos los equipos con Windows. El investigador lo ha probado en Windows 11 26H2, Windows 11 26H2 Experimental y Windows Server 2025 Experimental, y a partir de ahí estima que el 80 % de las instalaciones de Windows son vulnerables. Es una estimación suya, no una cifra de Microsoft.
Un valor del registro indica si el equipo está expuesto, y de momento no hay arreglo
Para quien administre equipos con Windows, lo práctico es saber si los suyos están afectados, y el investigador da dos formas de comprobarlo. La primera es ejecutar la prueba de concepto (PoC) del exploit: si abre una consola con privilegios SYSTEM, la máquina es vulnerable. La segunda, menos agresiva, es mirar el valor de registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Si vale 0 o 1, que corresponden al modo de aprendizaje y al modo de aplicación, el equipo es vulnerable. Si vale 2 o 3, no lo es.
La mala noticia llega después. Según el investigador, ahora mismo no hay más solución que esperar un parche de Microsoft. Desactivar la mitigación de CLFS no es una salida, porque dejaría los equipos expuestos de nuevo a los ataques que explotan vulnerabilidades de corrupción de memoria, que son justo los que esa protección frenó. Dicho de otra forma: la mitigación no sobra, y quitarla para cerrar SignDrop reabriría el problema anterior.
Es el último de una larga lista de fallos que el investigador publica desde abril
El investigador, que dice haber trabajado en Microsoft, ha revelado desde abril una larga lista de vulnerabilidades de día cero en Microsoft Defender, BitLocker y otros componentes de Windows: BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma y UnDefend. Según el medio, ya publicó hace cinco años varios exploits de día cero que permitían elevar privilegios en distintas versiones de Windows.
La relación con la compañía es tensa. Tras publicar esos fallos sin intentar antes comunicarlos en privado, Microsoft advirtió de acciones legales contra cualquiera que incurriera en «actividad maliciosa que cause un daño real» a sus clientes, algo que buena parte de la comunidad de seguridad interpretó como una amenaza directa al investigador.
Microsoft ha corregido algunos de los fallos revelados desde principios de año, entre ellos ShieldBreak, RoguePlanet, YellowKey, GreenPlasma y MiniPlasma. El resto de esas vulnerabilidades sigue sin un parche oficial, y SignDrop se suma ahora a esa lista.
Te puede interesar
Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.
| Imagen | Producto | Características | Comprar |
|---|---|---|---|
 |
Apple Mac mini M6 | Chip M6 · 16 GB de memoria unificada · tres Thunderbolt 4, HDMI y Ethernet de 2,5 Gb · 12,7 cm de ancho | Ver precio en Amazon |
 |
Beelink MINI-S13 Pro | Intel N150 hasta 3,60 GHz · 16 GB DDR4 y SSD PCIe de 500 GB · 4K a 60 Hz · Wi-Fi 6 y Bluetooth 5.2 | Ver precio en Amazon |
 |
Beelink SER8 | Ryzen 7 8745HS de 8 núcleos y 16 hilos hasta 4,9 GHz · 16 GB DDR5 y 512 GB PCIe 4.0 · Radeon 780M · LAN de 2,5 Gbps | Ver precio en Amazon |
 |
BOSGAME E3 Neo | Intel N95 de cuatro núcleos hasta 3,4 GHz · 16 GB DDR4 y 512 GB SSD · tres salidas 4K · 126 × 112 × 41 mm | Ver precio en Amazon |
Escrito por Eloy Andrade
