Исследователь Nightmare Eclipse сообщил об уязвимости в Windows, которая позволяет обойти защиту антивирусных программ и систем EDR (обнаружение и реагирование на угрозы). Атака использует механизм создания файлов от имени самого процесса защитного решения. Из-за этого драйверы ядра могут воспринимать подозрительное действие как легитимный запрос собственной программы.
По данным Ars Technica, эксплойт работает в Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. Проверить наличие уязвимости можно по режиму аутентификации CLFS (Common Log File System, общей файловой системы журналов). Если для него установлен режим обучения или принудительного применения правил, система считается подверженной атаке.
Размещённый исследователем код проверки концепции должен в таком случае запускать командную оболочку с полномочиями SYSTEM (системной учётной записи). Исследователь Уилл Дорманн подтвердил, что смог воспроизвести атаку и её описанное поведение. Однако, по его словам, проблема проявляется не на всех компьютерах с Windows 11.
Дорманн уточнил, что для срабатывания, вероятно, требуется Windows 26H2, которая используется более 90 дней. На новой системе этой версии, даже после установки обновлений, эксплойт запустить не удалось. Нужное значение находится в реестре по адресу HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode и должно быть равно 0 или 1.
Из большого числа компьютеров, которыми пользуется Дорманн, указанному условию соответствовал только один. Распространение обновлений Windows, включая версию 26H2, проходит поэтапно, поэтому точное число потенциально уязвимых устройств пока неизвестно. Проверить установленную версию системы можно с помощью команды «winver», а представители Microsoft не ответили на запрос о комментарии.