微软在 2025 年 10 月专门给系统日志打了一道防盗门，一年后，这道门被证实可以反过来帮黑客直接拿到操作系统的最高控制权。2026 年 11 月 10 日，与微软长期公开交恶的安全研究员 Nightmare Eclipse（GitHub 账号 MSNightmare）直接放出名为 SignDrop 的 Windows 0-day 漏洞代码。普通标准用户只要联合系统自带的杀毒软件 Windows Defender，就能在特定版本的系统上一路提权到最高级别的 System 权限。截至 11 月 13 日，微软尚未发布对应的 MSRC 安全公告、CVE 编号或修复补丁，好在目前还没有发现在野黑客利用的痕迹。
补丁变跳板：CLFS 验证如何配合 Defender 交出最高权限
被攻破的模块叫通用日志文件系统（CLFS），这是运行在用户态或内核态的高性能日志服务。过去几年，勒索软件和 APT 组织特别喜欢盯着它挖内存破坏漏洞，用来做本地提权。为了堵死这条路，微软在 2025 年 10 月 28 日通过 KB5056852 更新，面向 Windows 11 25H2、26H1 和 Windows Server 2025 推送了基于 HMAC 的 CLFS 身份验证缓解措施。
这套防御的本意很规矩，就是在日志和容器旁边生成配套的 .cnpf 恢复文件来校验完整性。但微软在代码逻辑里留了个致命的懒政，CLFS 在创建 .cnpf 文件时，会直接把原始文件的安全属性（即自主访问控制列表 DACL）原封不动地继承过来。
攻击者正是抓住了这个错配。普通用户先调用 Windows Defender 用来处理病毒库更新的合法函数 ServerMpUpdateEngineSignature，再配合操纵 Windows 对象管理器符号链接，诱骗 Defender 用自己的高权限去打开攻击者构造好的 CLFS 容器。此时系统发现缺少关联的身份验证文件，就会以 Defender 的 System 权限当场创建一个 .cnpf 文件，却把控制权按老规矩交给了原始的普通用户。一套丝滑的借刀杀人下来，防内存破坏的补丁直接变成了逻辑提权的跳板。
80% 设备受影响是虚张声势，但防守方确实卡在死角
按照漏洞作者的说法，Windows 11 26H2、Windows 11 26H2 Experimental 以及 Windows Server 2025 Experimental 均在受影响之列。作者甚至放话称 80% 的安装设备都能被拿下，而且这套手法能通杀并关掉市面上任何杀毒软件或 EDR 的自我保护机制。
对于这个吓人的数字，我不太买账。独立安全机构 Cyderes Howler Cell、78researchlab（研究员 Heewon Song 与 Sungyup Nam）以及研究员 Will Dormann 随后都做完了复现，给出的真实水位要冷静得多。
- 风险.只要注册表
HKLM:\SYSTEM\CurrentControlSet\Services\CLFS\Authentication下的 Mode 值为 0（强制执行）或 1（学习模式）就会中招，但管理员绝对不能为了躲避 SignDrop 而关闭该验证，否则系统会直接裸奔在更成熟的旧有 CLFS 内存破坏攻击之下。
更关键的限制在于触发条件和代码完整度。Will Dormann 发现，全新安装并打满补丁的 26H2 系统根本触发不了漏洞，受影响的系统往往需要已经存在超过 90 天；在他自己手头的一大堆机器里，最终只有 1 台满足条件。78researchlab 也戳破了作者的夸大其词，指出所谓 80% 覆盖率根本没有测量依据，通杀所有 EDR 也超出了目前仅针对 Defender 的演示范围。更何况，当前公开的 PoC 代码跑起来会直接破坏 UAC 提示，导致标准用户和 SYSTEM 终端同时弹出来，动静大且恢复困难，黑客想直接拿去实战还得自己重构一套代码。
撕破脸的旧怨：当协同披露沦为意气之争
为什么一个懂底层逻辑的研究员，不拿漏洞去换微软几万美元的赏金，非要直接扔上 GitHub 让全世界围观？
最坚固的堡垒往往从内部攻破，最危险的猎人往往曾是守夜人。
这事如果只看表面，很容易被当成又一起因为赏金没谈拢引发的泄愤，但翻开老账会发现根本没有证据表明作者这次向微软提交过该漏洞。2026 年 9 月，Nightmare Eclipse 公开了自己的真实身份，正是安全圈的老熟人 Abdelhamid Naceri。他跟微软的梁子早在 2021 年 11 月就结下了，当年因为不满微软削减漏洞赏金，他直接公开过 InstallerFileTakeOver 0-day。到了 2026 年 4 月，他更是化身 Nightmare Eclipse 和 Chaotic Eclipse，一口气连发了 BlueHammer、RedSun、UnDefend 等多个针对 Windows 和 Defender 的漏洞。
双方彻底撕破脸是在 2026 年 5 月 27 日。微软 MSRC 当天发了一篇火药味极浓的博文，指责有 6 个漏洞在未提前共享给官方的情况下被直接公开，并在字里行间搬出了数字犯罪部门（DCU）以及与执法部门的合作。这种近乎刑事诉讼威胁的口吻，当时就在安全社区炸了锅。Naceri 随后在 9 月自曝与微软存在离职及德国劳工诉讼纠纷，但紧接着又承认自己早先声称“已被微软起诉”的说法纯属伪造。
《左传》里讲“舟中之指可掬”，意思是双方杀红了眼，连攀附船舷的手指都要砍下来捧着数。如今的微软和这位前关联研究员，早就跨过了理性探讨漏洞价值的阶段。大厂挥舞法务与执法大棒试图立威，心怀怨气的猎人则把大厂刚打上的安全补丁拆成新武器扔回公共广场。
我更在意的是，这套协同漏洞披露（CVD）体系原本靠的是大厂给钱给名声、白帽给时间修补的脆弱默契。一旦双方连基本的沟通渠道都掐断，拿操作系统的底层缺陷当斗气的筹码，最后在无补丁空窗期里提心吊胆盯日志的，永远是各家企业里无辜的运维团队。