الأمن السيبراني13‏/11‏/2026، 10:29 م UTC·2 دقائق قراءة

ثغرة SignDrop في ويندوز تمنح المستخدم العادي صلاحيات System

باحث على خلاف مع مايكروسوفت نشر ثغرة SignDrop في ويندوز، وهي تستغل Defender لمنح مستخدم عادي صلاحيات System الكاملة.

A Windows laptop screen showing a command prompt window with a SYSTEM shell, symbolizing a privilege escalation exploit. — الصورة: Ars Technica

برنامج الحماية الذي وُضع لحراسة ويندوز يتحول هنا إلى أداة بيد المهاجم. فقد كشف باحث يستخدم اسم Nightmare Eclipse يوم الثلاثاء عن ثغرة يوم الصفر SignDrop في ويندوز. والباحث في خلاف علني مع مايكروسوفت منذ فترة، وسبق أن نشر ثغرات مشابهة.

تتيح SignDrop لمستخدم محلي بصلاحيات عادية الحصول على صلاحيات System الكاملة، وهي أعلى مستوى وصول في ويندوز. تكمن المشكلة في خدمة Common Log File System أو CLFS، وهي خدمة تسجيل تستخدمها البرامج العاملة في وضع المستخدم ووضع النواة. يجبر المهاجم عملية ذات امتيازات، مثل Windows Defender، على فتح حاوية CLFS مُعدّة مسبقًا.

كيف تعمل ثغرة SignDrop؟

يستدعي الاستغلال دالة ServerMpUpdateEngineSignature الشرعية في Defender، وهي المسؤولة عن معالجة تحديثات توقيعات مضاد الفيروسات. وباستخدام الروابط الرمزية في Object Manager يفتح Defender الملف بسياق محرك مكافحة البرمجيات الخبيثة. وإذا كان ملف المصادقة المرتبط غائبًا، ينشئه CLFS بصلاحيات System الخاصة بـDefender، ويمنحه قائمة DACL الخاصة بالملف الأصلي. وبذلك يصل المهاجم إلى ملف أُنشئ بصلاحيات System.

والمفارقة أن السبب إجراء أمني أضافته مايكروسوفت في أكتوبر 2025 لمنع هجمات أخرى على CLFS. ويقول الباحث إن مايكروسوفت فعلت كل شيء بشكل صحيح، لكن المنطق يسمح بإساءة الاستخدام. ويضيف أن الأسلوب قد ينجح ضد أي محرك لمكافحة البرمجيات الخبيثة، أي إنه قادر على تعطيل أي مضاد فيروسات أو أداة EDR.

هل جهازي معرّض للخطر؟

يقول الباحث إن الاستغلال نجح على Windows 11 26H2 ونسخة 26H2 Experimental وWindows Server 2025 Experimental. ويكون النظام معرّضًا إذا كان وضع مصادقة CLFS هو learning أو enforcement.

أعاد الباحث Will Dormann إنتاج الثغرة، لكنها لا تعمل على كل إصدارات ويندوز 11. وبحسب قوله، يلزم نظام 26H2 مضى عليه أكثر من 90 يومًا، وأن تكون قيمة HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode إما 0 أو 1. ومن بين أجهزته الكثيرة، لم يحقق الشرط سوى جهاز واحد. ويمكنك معرفة إصدارك عبر الأمر «winver».

وقالت مايكروسوفت إنها تحقق في الأمر، وإنها لا تملك دليلًا على استغلال الثغرة في هجمات فعلية، وإن Defender يمنع محاولات الاستغلال.