Исследователь Nightmare Eclipse сообщил об уязвимости в Windows, которая позволяет обойти механизмы самозащиты антивирусов и средств обнаружения и реагирования на угрозы (EDR). Эксплуатация проблемы может запускать создание произвольных файлов от имени процесса самого защитного решения. Из-за этого драйверы антивируса воспринимают запрос как исходящий от доверенного процесса и пропускают его.
По данным Ars Technica, уязвимость затрагивает Windows 11 версии 26H2, экспериментальную сборку Windows 11 26H2 и экспериментальную версию Windows Server 2025. Проверить наличие проблемы можно по режиму аутентификации CLFS — компонента Windows, отвечающего за ведение журналов. Система считается уязвимой, если для него установлен режим обучения или принудительного контроля.
Для проверки также используется параметр реестра HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode. Значение 0 или 1 указывает на выполнение необходимого условия для срабатывания эксплойта. При использовании опубликованного кода проверки (PoC) уязвимая система должна открыть командную оболочку с правами SYSTEM, то есть с максимальным уровнем доступа.
Исследователь Уилл Дорманн заявил, что самостоятельно воспроизвёл атаку и подтвердил её работоспособность, однако она срабатывает не на всех компьютерах с Windows 11. По его словам, требуется версия 26H2, которая используется более 90 дней. На недавно установленной системе той же версии с обновлениями эксплойт, как утверждается, не запускается.
Дорманн отметил, что среди большого числа проверенных им компьютеров только один соответствовал необходимым условиям. Microsoft распространяет обновления Windows, включая версию 26H2, поэтапно, поэтому точное число потенциально затронутых пользователей неизвестно. Версию системы можно узнать с помощью команды «winver», а представители Microsoft не ответили на запрос Ars Technica о комментарии.