Un investigador conocido como Nightmare Eclipse publicó SignDrop, una falla de Windows 11 que da control total del equipo a quien ya tenga una cuenta de usuario común. Según el portal especializado BleepingComputer, Microsoft aún no la corrigió y el autor dice que solo queda esperar su parche.
El error está en el Common Log File System (CLFS), el componente de Windows que registra eventos de programas y del sistema.
El atacante obliga a Windows Defender, el antivirus de Microsoft, a abrir un archivo de registro que él preparó. El archivo auxiliar de autenticación se crea con los permisos de Defender, y el atacante lo aprovecha para escalar a SYSTEM, el nivel más alto del sistema.
El ataque no funciona a distancia: lo puede usar alguien que ya tiene acceso local al equipo con permisos limitados, según el medio tecnológico Ars Technica. Desde ahí, según Abdelhamid Naceri, nombre real del investigador, puede apagar cualquier antivirus, porque el sistema interpreta el pedido como una acción legítima del propio programa de seguridad.
La falla nace de una defensa que la propia Microsoft introdujo en octubre de 2025 para frenar ataques contra el mismo componente. Naceri sostiene que la medida está bien implementada, pero que su lógica permite abusar de ella. El método sirve contra el sistema de autoprotección de cualquier antivirus, no solo el de Microsoft.
Cuántos equipos están expuestos
Naceri probó el código en Windows 11 26H2 y en versiones experimentales de ese sistema y de Windows Server 2025. Estima que el 80% de las instalaciones de Windows es vulnerable. Para saberlo, recomienda ejecutar su código de prueba o revisar un valor del registro de Windows: si es 0 o 1, el equipo está expuesto.
Will Dormann, analista de vulnerabilidades de la firma Tharros, reprodujo el ataque y confirmó que funciona como se describe, pero no en todos los equipos. Según explicó a Ars Technica, requiere Windows 11 26H2 con más de 90 días de uso. De las muchas máquinas que él utiliza, solo una cumplía esa condición.
Naceri afirma que no existe otra solución que esperar la actualización de Microsoft, porque desactivar la protección de CLFS dejaría el equipo expuesto a otros ataques, según BleepingComputer. En ese medio no figura una respuesta de la empresa.
Una disputa abierta desde abril
SignDrop es una más de una serie. Según BleepingComputer, Naceri divulgó desde abril fallas en Microsoft Defender, BitLocker y otros componentes de Windows, entre ellas BlueHammer, RedSun, MiniPlasma, YellowKey y UnDefend —once nombres en total según ese medio.
Con BlueHammer, publicada el 3 de abril, escribió que no había amenazado en falso a Microsoft y agradeció con sarcasmo a la dirección de su Centro de Respuesta de Seguridad. La falla recibió después el identificador CVE-2026-33825, informó Rotas Security. Había avisado en privado a la empresa y se declaró disconforme con la respuesta.
Naceri dice haber trabajado en Microsoft. Hace cinco años ya había difundido otras fallas de Windows sin avisar antes a la empresa, que entonces advirtió que tomaría medidas legales contra quienes causaran daño real a sus clientes —advertencia que muchos expertos interpretaron como una amenaza contra el investigador, según BleepingComputer.
Según ese medio, Microsoft corrigió cinco de las fallas: ShieldBreak, RoguePlanet, YellowKey, GreenPlasma y MiniPlasma. Las demás siguen sin parche oficial. En mayo, Naceri afirmó que MiniPlasma era un error que un investigador de Google Project Zero había avisado en 2020 y que seguía sin corregirse.
