Security Alert · Schwachstelle

Windows 11 und Server 2025: Angriffscode für ungepatchte Lücke im Protokolldienst CLFS

Risikostufe

Mittel

Kategorie

Schwachstelle

Betroffene Systeme

Windows 11 (CLFS-Schutzfunktion ab Version 25H2) und Windows Server 2025, auf denen die CLFS-Authentifizierung im Lern- oder Erzwingungsmodus läuft (Registry-Wert Mode 0 oder 1); laut Microsoft wechselt das System nach 90 Tagen automatisch in den Erzwingungsmodus

Abhilfe verfügbar

Noch kein Update verfügbar. CLFS-Schutzfunktion nicht abschalten, Benutzer ohne Adminrechte arbeiten lassen, Erstzugänge erschweren, Endpunkte überwachen und auf ein Microsoft-Update achten

Quelle

Veröffentlichung des Forschers, Microsoft Support, Microsoft Learn, The Hacker News

Was ist passiert?

Ein Sicherheitsforscher hat am 10.11.2026 Angriffscode mit dem Namen „SignDrop“ samt technischer Beschreibung veröffentlicht. Damit soll ein normaler Windows-Benutzer volle Systemrechte (SYSTEM) erlangen können. Die Lücke steckt in einer Schutzfunktion des Windows-Protokolldienstes CLFS (Common Log File System), die Microsoft am 28.10.2025 für Windows 11 und Windows Server 2025 eingeführt hat. Sie soll eigentlich verhindern, dass manipulierte Protokolldateien verarbeitet werden.

Zu jeder Protokolldatei legt Windows eine Begleitdatei an. Wird eine vom Benutzer vorbereitete Protokolldatei von einem privilegierten Prozess geöffnet, entsteht diese Begleitdatei laut Forscher mit den Rechten dieses Prozesses, im veröffentlichten Code des Defender-Dienstes. Über umgeleitete Dateipfade kann der Angreifer so eine Datei mit Systemrechten erzeugen, die er selbst beschreiben darf, und daraus SYSTEM-Rechte machen. Getestet hat der Forscher nach eigenen Angaben Windows 11 26H2 und eine Vorabversion von Windows Server 2025.

Microsoft hat die Lücke bisher weder bestätigt noch eine CVE-Kennung vergeben oder ein Update veröffentlicht. Ein weiteres Sicherheitsunternehmen hat den Code nach Medienberichten getestet und als funktionsfähig, aber nicht zuverlässig eingestuft. Angriffe mit dem Code sind bisher nicht bekannt.

Wer ist betroffen?

Unternehmen mit Windows 11 und Windows Server 2025, auf denen die CLFS-Schutzfunktion aktiv ist. Das ist im Lernmodus (Registry-Wert Mode 1) und im Erzwingungsmodus (Mode 0) der Fall; laut Microsoft wechselt Windows 90 Tage nach Einführung automatisch in den Erzwingungsmodus. Den Wert finden Administratoren unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Angreifer brauchen bereits Zugang zum Rechner, etwa über eine Phishing-Mail oder gestohlene Zugangsdaten. Die Lücke dient dann dazu, sich volle Kontrolle zu verschaffen.

Wie hoch ist das Risiko?

Mittel. Das ist die redaktionelle Einschätzung von Blured. Öffentlicher Angriffscode und ein fehlendes Update sprechen für ein erhöhtes Risiko. Dagegen stehen: Die Lücke ist nur lokal ausnutzbar, der Code läuft nicht zuverlässig, und Angriffe sind bisher nicht bekannt.

So schützen Sie sich

1. Die CLFS-Schutzfunktion nicht abschalten. Microsoft rät davon ab, und auch der Forscher warnt: Ohne sie verarbeitet Windows manipulierte Protokolldateien wieder und ältere, gefährliche Angriffswege öffnen sich erneut.
2. Microsoft-Updates weiter zeitnah einspielen und auf ein Update zu dieser Lücke achten.
3. Normale Benutzer ohne Adminrechte arbeiten lassen und Erstzugänge erschweren: MFA, E-Mail-Filter und Awareness-Schulungen.
4. Endpunkte überwachen: Ungewöhnliche Rechteausweitungen und neue SYSTEM-Prozesse erkennt eine Erkennungs- und Reaktionslösung (EDR/MDR).

Quellen

• Veröffentlichung des Forschers: SignDrop (GitHub), 10.11.2026
• Microsoft Support: Common Log File System (CLFS) Authentication Mitigation (KB5056852), 28.10.2025
• Microsoft Learn: CLFS authentication, 26.09.2025
• The Hacker News: New SignDrop Zero‑Day Exploit (Stand der Microsoft-Reaktion und Fremdtest), 12.11.2026

Mehr zum Thema

• IT-Sicherheit
• Managed Workplace
• Alle Security Alerts

Stand: 13.11.2026