Microsoft’un Windows günlük dosyalarını korumak için geliştirdiği bir güvenlik özelliği, bu kez kendisi bir güvenlik açığıyla gündemde. Nightmare Eclipse takma adını kullanan güvenlik araştırmacısı Abdelhamid Naceri, SignDrop adını verdiği açığı 10 Kasım 2026’da, Microsoft’un aylık güvenlik güncellemelerini yayımladığı gün kamuoyuna açıkladı. Araştırmacının gösterimi, bazı Windows sistemlerinde standart kullanıcı yetkileriyle çalışan bir programın, işletim sisteminin en ayrıcalıklı yerel hesaplarından biri olan SYSTEM düzeyine ulaşabildiğini ortaya koydu.
15 Kasım 2026 itibarıyla SignDrop için yayımlanmış bir Microsoft yaması bulunmuyor. Bununla birlikte Microsoft, SecurityWeek’e yaptığı açıklamada konuyu araştırdığını, Defender’ın açığın bilinen istismarını tespit edip engellediğini ve ilgili yetki yükseltme davranışı için uyarı ürettiğini bildirdi. Şirket, açıklamayı yaptığı sırada gerçek saldırılarda SignDrop kullanımına rastlamadığını da belirtti. Öte yandan güvenlik şirketi Cyderes’in araştırmacının yayımladığı kodu bağımsız olarak test edip çalıştırabilmesi, açığın teknik olarak kullanılabilir olduğunu gösteriyor.
Günlük dosyalarını koruyan özellik nasıl bir riske dönüştü?
SignDrop, Windows’un Common Log File System (CLFS) adlı bileşenini etkiliyor. Hem uygulamalar hem de işletim sistemi bileşenleri günlük verilerini saklamak için bu altyapıyı kullanabiliyor. CLFS’nin güvenlik açısından önemli olmasının bir nedeni, karmaşık günlük dosyalarını Windows çekirdeğinde işlemesi. Geçmişte bu dosyaların işlenmesi sırasında ortaya çıkan hatalar, saldırganların normal bir kullanıcı hesabıyla elde edemeyecekleri yetkilere ulaşmasına yol açmıştı. Microsoft da bu saldırıları önlemek amacıyla günlük dosyalarının bütünlüğünü doğrulayan bir mekanizma geliştirdi.
Naceri’nin bulduğu sorun, doğrulama sırasında yapılan bir dosya işleminin hangi hesabın yetkileriyle yürütüldüğüyle ilgili. Normal koşullarda standart bir kullanıcı, Windows’un korunan konumlarına dosya yazamıyor. Ancak araştırmacının gösteriminde, daha yüksek yetkilerle çalışan bir işlem devreye girdiğinde CLFS üzerinden yapılan dosya işlemi bu ayrıcalıklardan yararlanabiliyor. Böylece başlangıçta yalnızca oturum açmış kullanıcı kadar yetkisi olan bir program, aynı cihazda SYSTEM düzeyine çıkabiliyor.
Bunun kurumlar açısından anlamı somut. Örneğin bir çalışanın hesabı yerel yöneticiler grubunda olmasa bile, saldırgan o hesabın oturumunda kod çalıştırmayı zaten başarmışsa SignDrop’u ikinci aşamada kullanabilir. Buradaki önkoşul, hedef cihazda önceden kod çalıştırabilmek. Araştırmacının gösterdiği etki de o cihazdaki yerel yetkilerin yükseltilmesi.
Hangi Windows sürümleri etkileniyor?
Araştırmacı, gösterim kodunu Windows 11 26H2, Windows 11 26H2 Experimental ve Windows Server 2025 Experimental üzerinde test ettiğini belirtiyor. Bunlar test edildiği bildirilen sürümler. Örneğin Windows Server 2025’in deneysel sürümünde alınan sonuçtan hareketle bütün üretim kurulumları hakkında kesin hüküm vermek mümkün değil. Aynı şekilde başka bir sürümün listede yer almaması da o sürümün güvende olduğunu göstermiyor.
Haberlerde geçen “Windows sistemlerinin yüzde 80’i etkileniyor” ifadesi de bu nedenle dikkatle okunmalı. Yüzde 80, araştırmacının dünya genelindeki kurulumlara ilişkin tahmini. Microsoft’un açıklamasında bu oranı doğrulayan bir saha ölçümü veya etkilenen tüm sürümleri gösteren bir liste paylaşılmadı.
Yama çıkana kadar sistem yöneticileri ne yapabilir?
Bugün uygulanabilecek en somut önlem, Defender kullanılan cihazlarda gerçek zamanlı korumanın açık ve güvenlik zekası güncellemelerinin güncel olduğunu kontrol etmek. Microsoft’un bildirdiği koruma, bilinen istismar davranışını hedefliyor. Bu nedenle Defender’ın örnek dosyayı engellemesi değerli olsa da Windows’taki temel kusur, Microsoft düzeltmeyi yayımlayana kadar varlığını sürdürüyor. Kurumsal ortamlarda Defender’ın ürettiği ilgili yetki yükseltme uyarılarının incelenmesi de bu dönemde önem taşıyor.
Kayıt defteri üzerinden önerilen yöntemde ise iki ayrı konu var. Mevcut CLFS ayarını okumak, sistemin nasıl yapılandırıldığını anlamaya yardımcı oluyor. Aşağıdaki komut yalnızca ilgili değeri sorguluyor ve sistemde değişiklik yapmıyor.
reg query "HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication" /v ModeMode değeri | Microsoft belgelerine göre anlamı |
|---|---|
0x0 | Doğrulama zorunlu. CLFS, doğrulama kodu eksik veya geçersiz günlük dosyalarını açmayı reddediyor. |
0x1 | Öğrenme modu etkin. CLFS günlük dosyalarını açabiliyor ve gerekli koşullar sağlandığında eksik doğrulama kodlarını oluşturuyor. |
0x2 | Bir yönetici CLFS doğrulamasını devre dışı bırakmış. |
0x3 | Sistem CLFS doğrulamasını otomatik olarak devre dışı bırakmış. |
Tablodaki değerler CLFS korumasının çalışma biçimini gösteriyor. Tek başına bu sorgudan bir cihazın ele geçirildiği veya SignDrop’a karşı güvende olduğu sonucu çıkarılamaz. Özellikle Mode değerini 2 yaparak korumayı kapatmak, eski CLFS saldırılarına karşı eklenen savunmayı da kaldırıyor. Bu yüzden kayıt defterini değiştirmek, kurum genelinde uygulanabilecek güvenli bir geçici çözüm olarak önerilmiyor.
Kısacası, kalıcı çözüm için Microsoft’un yaması bekleniyor. Bu arada kurumların elinde iki somut imkân var: CLFS korumasını açık tutarak eski açıklara karşı kazanılan savunmayı korumak ve Defender’ın bilinen SignDrop davranışına yönelik engelleme ve uyarılarından yararlanmak. Bir üretim sunucusunun durumunu değerlendirmek için yayımlanan saldırı kodunu çalıştırmak veya antivirüse istisna eklemek gerekmiyor.
