Windowsin SignDrop-haavoittuvuus voi tutkijan mukaan antaa hyökkääjälle paikalliset SYSTEM-oikeudet, mutta se ei itsessään avaa pääsyä tietokoneelle. Hyökkääjän täytyy ensin pystyä suorittamaan koneella koodia. Yritykselle keskeinen riski on, että käyttäjän oikeuksilla alkanut haittaohjelmatartunta voisi laajentua koko käyttöjärjestelmän hallintaan.
Tietoturvatutkija Abdelhamid Naceri, joka tunnetaan myös nimellä Nightmare Eclipse, julkaisi SignDropin toimintaa havainnollistavan kokeellisen hyväksikäyttökoodin marraskuussa 2026. Tilannekuvassa 12.11.2026 Microsoftin vahvistusta, CVE-tunnusta tai korjauspäivitystä ei ollut tiedossa. Myöskään todellisissa hyökkäyksissä tapahtuneesta hyväksikäytöstä ei ollut raportoitu. Tutkijan tekniset väitteet ja niiden kattavuus on siksi erotettava vahvistetuista tuotetiedoista.
Mikä SignDrop on ja miten se liittyy Windowsin lokitiedostoihin?
SignDrop on tutkijan kuvaama paikallinen oikeuksien korotushaavoittuvuus Windowsin Common Log File System -ajurissa eli CLFS:ssä. Paikallinen oikeuksien korotus tarkoittaa, että koneella jo toimiva ohjelma saa käyttöönsä alkuperäistä käyttäjätiliä laajemmat oikeudet.
Microsoft lisäsi CLFS-lokitiedostojen todennukseen liittyvän suojauksen lokakuun 2025 päivityksiin. Nacerin mukaan SignDrop hyödyntää tämän suojauksen toimintalogiikkaa: kun korkein oikeuksin toimiva prosessi avaa lokitiedoston, siihen liittyvän .cnpf-todennustiedoston luontia voidaan käyttää väärin. Tällaiseksi prosessiksi tutkija nimeää esimerkiksi Windows Defenderin.
SYSTEM on Windowsin paikallisen järjestelmätilin käyttöoikeustaso. Sen saavuttaminen voi mahdollistaa käyttöjärjestelmän asetusten, palveluiden ja suojausten laajan muuttamisen. Se ei kuitenkaan automaattisesti tarkoita koko yritysverkon tai Microsoft 365 -ympäristön hallintaa.
Mitä Windows-versioita väite koskee?
Naceri kertoo testanneensa SignDropia Windows 11 26H2:ssa sekä Windows 11:n ja Windows Server 2025:n kokeellisissa versioissa. Nämä testitiedot eivät muodosta Microsoftin vahvistamaa luetteloa haavoittuvista käyttöjärjestelmäversioista.
Tutkijan arvio, jonka mukaan noin 80 prosenttia Windows-asennuksista voisi olla haavoittuvia, ei ole riippumattomasti vahvistettu. Yrityksen ei pidä käyttää arviota oman laitekantansa riskilukuna eikä päätellä yksittäisen koneen turvallisuutta pelkän versionimen perusteella.
Suomi Solutions voi auttaa kokoamaan Windows-laitteiden versiot, päivitystilan ja ylläpitovastuut samaan tilannekuvaan. Näin mahdollinen valmistajan tiedote voidaan myöhemmin kohdistaa oikeisiin työasemiin ja palvelinympäristöihin ilman kiireessä aloitettavaa kartoitusta.
Voiko SignDrop ohittaa virustorjunnan tai EDR-suojauksen?
Tutkija väittää, että SignDropilla voidaan kiertää myös suojaustuotteiden omien asetusten ja toimintojen muuttamista estävää suojausta. Väite kaikkien virustorjunta- ja päätelaitteiden havainnointi- ja torjuntatuotteiden eli EDR-tuotteiden suojauksen ohittamisesta ei ole riippumattomasti vahvistettu.
Yrityksen ei siis pidä olettaa, että sen päätelaitesuojaus varmasti estää SignDropin hyväksikäytön. Yhtä lailla olisi perusteetonta päätellä, että suojaustuote olisi kokonaan hyödytön. Virustorjunta, EDR, lokitus ja hälytykset kannattaa pitää toiminnassa ja pyytää omalta suojaustoimittajalta tuotekohtaiset seurantaohjeet.
Miten riski näkyy yrityksen arjessa?
Mahdollinen hyökkäysketju voisi alkaa esimerkiksi työntekijän suorittamasta haitallisesta ohjelmasta. Jos SignDrop toimisi kyseisessä ympäristössä, ohjelma voisi tutkijan kuvaamalla tavalla korottaa oikeuksiaan ja vaikeuttaa koneen puhdistamista tai palauttamista luotettavaan tilaan. Tämä on mahdollinen vaikutusketju, ei havainto SignDropilla tehdystä yrityshyökkäyksestä.
Suomi Solutionsin käytännön suositus on erottaa toisistaan alkuperäisen pääsyn ehkäisy, oikeuksien korotuksen riski ja liiketoiminnan jatkuvuus. Pelkkä paikallisten ylläpitäjäoikeuksien poistaminen ei korjaa tavallisen käyttäjän oikeuksista käynnistyvää haavoittuvuutta. Luvattomien ohjelmien suorittamisen rajoittaminen voi kuitenkin vaikeuttaa hyökkäysketjun aloittamista.
Suomi Solutions voi arvioida sovellusten suoritusrajoituksia ja paikallisia käyttöoikeuksia yrityksen työtehtävien näkökulmasta. Muutokset kannattaa testata rajatulla laitejoukolla, jotta kyberturvan parantaminen ei tarpeettomasti keskeytä työntekoa.
Mitä yrityksen kannattaa tehdä nyt?
- Nimeä seurannalle vastuuhenkilö. Seuraa Microsoftin tietoturvatiedotteita ja suojaustuotteen toimittajan ohjeita. Valmistele mahdollisen korjauksen testaus ja jakelu.
- Kartoita Windows-laitteet. Kirjaa käyttöjärjestelmäversiot, päivitystila, käyttötarkoitus ja ylläpitovastuu. Huomioi myös harvoin verkkoon yhdistyvät työasemat.
- Pidä nykyiset suojaukset käytössä. Älä poista CLFS:n todennussuojausta omin päin. Sen poistaminen voi altistaa järjestelmän aiemmille CLFS-hyökkäyksille.
- Tarkista ohjelmien suorittamisen hallinta. Vähennä tarpeettomia oikeuksia ja luvattomien ohjelmien suoritusmahdollisuuksia. Nämä ovat riskin pienentämiskeinoja, eivät SignDropin korjaus.
- Varmista havaintojen käsittely. Tarkista, että suojausten tilamuutokset ja poikkeavat tapahtumat päätyvät valvontaan ja että hälytyksillä on käsittelijä.
- Älä aja julkista hyväksikäyttökoodia tuotannossa. Tutkijan rekisteriarvoihin perustuvia tarkistusohjeita ei pidä käsitellä valmistajan vahvistamana testinä. Mahdollinen tekninen arviointi kuuluu eristettyyn testiympäristöön.
Jos Microsoft julkaisee SignDropia koskevan korjauksen, käyttöönotto kannattaa tehdä viipymättä valmistajan ohjeiden ja ympäristön edellyttämän testauksen mukaisesti. Suomi Solutions voi auttaa suunnittelemaan päivityksen jakelun ja varmistamaan asennusten onnistumisen. Ota yhteyttä Suomi Solutionsiin, jos Windows-laitteiden tilannekuva tai korjausten käyttöönottovastuut tarvitsevat selkeyttämistä.
Tarvitsetko apua tähän?
Suomi Solutions auttaa yrityksiä tietoturvassa, Microsoft 365:ssä, hostingissa ja tekoälyratkaisuissa. Kerro tilanteesi, niin ehdotamme sopivan ratkaisun.
