事件總覽：安全研究員與微軟的公開衝突再度升級，最新爆出的 Windows 零日漏洞竟將防禦機制反轉，讓普通使用者能直取系統最高權限。
長期與微軟（Microsoft）公開槓上的研究員 Nightmare Eclipse，再次投下一顆震撼彈。在這波衝突中，他公開名為 SignDrop 的漏洞，直指部分版本的 Windows 系統存在嚴重風險，能讓本機使用者輕鬆獲取完整的 System 權限。
📅 2025年10月：防禦機制的誕生與反噬
在此之前，微軟為了修補過去在通用記錄檔系統（Common Log File System, CLFS）中層出不窮的安全漏洞，特別在 2025 年 10 月導入了一項全新的安全緩解措施。然而，這項旨在保護系統的機制，卻在隨後遭到研究員破解並反向利用。
這個漏洞的核心在於 CLFS、Windows Defender 以及系統檔案權限之間的奇妙互動。攻擊者透過操控 Windows 物件管理員符號連結（symbolic links），強制微軟內建的防毒引擎 Windows Defender 去開啟一個由一般使用者所建立的日誌檔案。這直接導致了安全防護機關在無意間成為權限提升的跳板。
📅 漏洞運作：將防毒軟體作為攻擊幫兇
當攻擊者呼叫合法的防毒特徵碼更新功能時，系統會去處理相應的檔案。如果缺少了特定的驗證檔案，CLFS 便會自動使用 Windows Defender 的 System 權限來建立它。因為 CLFS 會將新建立的檔案套用原始檔案的自由存取控制清單（DACL），這使得攻擊者能夠合法接觸由最高權限建立出來的檔案，進而達到權限提升的目的。
有趣的是，這個漏洞最獨特的地方在於它能繞過任何防毒軟體或端點偵測與回應（EDR）機制的自我防護。因為檔案建立的請求來自防毒軟體自身的合法處理程序，核心驅動程式根本不會起疑，這讓攻擊者有機會直接關閉防禦系統。
📅 漏洞限制：條件嚴苛但真實存在
根據 Nightmare Eclipse 的測試，這個漏洞對 Windows 11 26H2、Windows 11 26H2 Experimental 以及 Windows Server 2025 Experimental 具有殺傷力。使用者只要檢查系統中的 CLFS 驗證模式，若處於學習模式或強制模式，就有機會讓攻擊指令碼直接生出 SYSTEM 命令提示字元。
不過，知名資安研究員 Will Dormann 在接受採訪時指出，雖然他成功還原了這個攻擊手法，但實際條件其實相當嚴苛。這不僅需要特定的 Windows 26H2 版本，且該系統似乎必須安裝超過 90 天以上，新安裝並完成更新的系統並不會中招。在 Dormann 測試的多臺機器中，也僅有一臺符合漏洞條件。
從產業面來看，這個漏洞給了資安界一個強烈的警訊：我們一直以來信賴的安全防禦機制，有時候反而可能因為邏輯上的盲點，成為攻擊者手中最鋒利的武器。微軟在修補舊漏洞時導入的防護，卻因細微的邏輯漏洞而被「以子之矛、攻子之盾」，這對軟體架構設計來說絕對是一記當頭棒喝。對一般企業 IT 人員來說，這也提醒我們，單純依賴自動更新和既有防禦是不夠的，必須隨時關注底層架構的配置變化。
至今影響與未來展望
隨著微軟採用分階段推送更新的策略，究竟有多少終端使用者真正暴露在這個風險之中，目前仍是未知數。話說回來，軟體安全性從來不是一場能永遠分出勝負的遊戲，當攻擊手法不斷進化，防禦端的邏輯審查也必須更加嚴密。面對這類深層的系統漏洞，用戶目前只能透過檢查「winver」與登錄檔數值來確認自身風險，並等待微軟官方的正式迴應與修補。
行動呼籲：如果你管理的系統剛好符合相關版本，建議盡快透過指令確認系統的 CLFS 驗證模式，並持續關注微軟後續的安全公告，避免成為下一波漏洞利用下的無辜受害者。
本文改寫整理自公開新聞來源，原始報導由Ars Technica發布。
常見問題 FAQ
什麼是 SignDrop 漏洞？
SignDrop 是由研究員 Nightmare Eclipse 揭露的 Windows 零日漏洞，利用通用記錄檔系統（CLFS）與 Windows Defender 的互動缺陷，讓普通使用者能藉此取得系統的最高 System 權限。
這個漏洞會影響所有的 Windows 11 系統嗎？
不會。根據資安專家研究，該漏洞主要影響特定的 Windows 11 26H2 等版本，且系統必須符合特定的安裝時間與登錄檔設定條件，並非每臺電腦都會中招。
一般使用者該如何檢查自己的電腦是否安全？
使用者可以透過執行「winver」指令來確認系統版本，並檢查登錄檔中關於 CLFS 的驗證模式設定，若處於特定模式且系統符合條件，則可能存在潛在風險。
※ 此篇文章由 AI 改寫或生成，內容僅供參考，可能存在錯誤或不準確之處。
