SignDrop es un exploit para Windows que permite a un usuario con una cuenta estándar conseguir privilegios SYSTEM, el nivel de acceso más alto del sistema operativo. Lo consigue aprovechando un fallo de lógica en CLFS (Common Log File System), el componente del núcleo que gestiona los archivos de registro.
Qué es SignDrop y cómo consigue privilegios SYSTEM
El investigador Abdelhamid Naceri, conocido como Nightmare Eclipse, publicó SignDrop en GitHub el 10 de noviembre de 2026, el mismo día del Patch Tuesday. Las actualizaciones de ese día no corrigen el problema. Es una escalada local de privilegios, así que el atacante necesita estar ya ejecutando código en el equipo con una cuenta normal. No se puede usar para entrar en un PC desde Internet.
En octubre de 2025, Microsoft añadió a CLFS una protección basada en códigos de autenticación HMAC que comprueba que los archivos de registro no se han manipulado antes de procesarlos. SignDrop aprovecha precisamente esa protección. Según el análisis de SecurityOnline, el exploit consigue que Microsoft Defender abra un registro preparado por el usuario. CLFS crea entonces el archivo de autenticación .cnpf con privilegios SYSTEM, pero le pone los permisos del archivo original, y eso es lo que el atacante aprovecha para completar la escalada.
Algunas de las afirmaciones que acompañan a la publicación hay que tomarlas con cautela. Nightmare Eclipse dice que la técnica podría desactivar cualquier antivirus o EDR, pero no lo ha demostrado. Tampoco hay datos que respalden su estimación de que el 80 % de los equipos Windows están afectados.
Qué versiones de Windows afecta SignDrop
El exploit solo funciona donde existe la autenticación de CLFS, que llegó con las actualizaciones publicadas a partir del 28 de octubre de 2025. Según Ostorlab, eso incluye Windows 11 25H2, 26H1 y 26H2 y Windows Server 2025. Las pruebas publicadas se han hecho en Windows 11 26H2 y en compilaciones experimentales de Windows Server 2025, así que en el resto de versiones el riesgo se deduce de que tienen la función, no de pruebas directas.
Windows 10 y Windows 11 24H2 o anteriores no tienen esta protección, así que este ataque concreto no les afecta. Eso no quiere decir que estén libres de otros fallos de CLFS.
Para ver tu versión, pulsa Win + R, escribe winver y pulsa Intro. Se abrirá una ventana con la versión y la compilación del sistema.
Cómo comprobar si tu PC está expuesto a SignDrop
Si tienes Windows 11 25H2 o una versión posterior, el siguiente paso es ver en qué modo está la autenticación de CLFS. No hace falta descargar nada ni ejecutar el exploit. Pulsa Win + R, escribe regedit, acepta el aviso del Control de cuentas de usuario y ve a esta ruta:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication
En el panel derecho verás varios valores. Key guarda la clave criptográfica propia del equipo con la que se firman los registros. EnforcementTransitionPeriod marca, en segundos, cuánto dura el modo de aprendizaje. Mode indica el estado de la protección y es el valor que tienes que mirar.
Un 0 en Mode indica que la protección está aplicada y que CLFS exige códigos válidos en todos los registros. Un 1 indica modo de aprendizaje, el periodo en el que Windows añade los códigos a los registros que todavía no los tienen. Con cualquiera de esos dos valores, tu equipo está dentro de las configuraciones afectadas. Un 2 significa que un administrador ha desactivado la protección y un 3, que Windows la ha desactivado automáticamente.
Microsoft explica todos los valores en su página de soporte sobre la autenticación de CLFS.
En el equipo donde he hecho la comprobación, Mode tiene el valor 3. Ese valor quiere decir que Windows ha desactivado la protección por su cuenta, así que ese PC queda fuera del alcance de SignDrop, aunque también funciona sin la autenticación de CLFS.
Microsoft no explica en su documentación por qué el sistema la desactiva automáticamente, y es un valor que no conviene cambiar manualmente. En ese mismo equipo, EnforcementTransitionPeriod marca 10368000 segundos, es decir, 120 días de aprendizaje, cuando Microsoft habla de 90 en su documentación. Esa cifra puede variar de un equipo a otro.
También puedes hacer la comprobación desde PowerShell sin abrir el registro. Haz clic derecho en el botón Inicio, abre Terminal y ejecuta:
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\CLFS\Authentication" -Name Mode
PowerShell devuelve varias líneas. Las de PSPath, PSParentPath, PSChildName, PSDrive y PSProvider solo indican la ruta de la clave y no te dicen nada sobre SignDrop. La que importa es la primera, Mode, que muestra el mismo número que verías en el registro. En mi equipo devuelve Mode : 3, el mismo valor que aparece en regedit, así que los dos métodos coinciden.
Si la clave no existe, PowerShell mostrará un error. No la crees. Que falte no demuestra que estés protegido: lo normal es que tu versión no incluya esta función.
Por qué no debes desactivar la protección de CLFS
Cambiar Mode a 2 puede parecer la forma más rápida de librarse de SignDrop, pero es una mala decisión. La autenticación se añadió porque CLFS ha sido durante años uno de los componentes más atacados de Windows, casi siempre con archivos de registro manipulados que provocaban corrupción de memoria en el núcleo.
Si la desactivas, te libras de un fallo concreto y dejas el sistema expuesto a toda esa clase de ataques. Deja el valor como está y espera a la corrección oficial.
Qué hacer mientras Microsoft prepara una solución contra SignDrop
A 15 de noviembre todavía no hay parche ni CVE asignado. Un portavoz de Microsoft le confirmó a SecurityWeek que la compañía está investigando el fallo, que Microsoft Defender detecta y bloquea su explotación y que no ha visto ataques reales.
Aquí hay una contradicción curiosa. Según The Hacker News, la cadena del exploit necesita que Defender esté activo, así que alguien podría pensar en desactivarlo para cortar el ataque:No lo hagas: perderías justo la protección que hoy bloquea SignDrop y cualquier otro malware que use para entrar.
Mantén Defender activo, con las actualizaciones de inteligencia de seguridad al día, y deja Windows Update habilitado para recibir la corrección cuando salga.
Esa misma publicación recoge que un equipo de 78researchlab ha reproducido el exploit, aunque no lo considera lo bastante fiable para usarlo en ataques reales.
Además, cuando se ejecuta cambia el comportamiento de los avisos de UAC, así que se nota enseguida. En un PC doméstico con un solo usuario, el riesgo práctico es bajo y donde hay que tener más cuidado es en equipos compartidos, ordenadores de oficina y servidores con varias cuentas locales.
En esos casos, limitar quién puede iniciar sesión y ejecutar programas reduce mucho las opciones de aprovechar una escalada de privilegios.
Preguntas frecuentes sobre SignDrop
¿SignDrop permite hackear mi PC desde Internet?
No. Es una escalada local de privilegios, así que el atacante necesita ejecutar código antes en el equipo con una cuenta normal.
¿Windows 10 o Windows 11 24H2 son vulnerables a SignDrop?
No a través de este mecanismo. Ninguna de las dos versiones tiene la autenticación de CLFS que aprovecha el exploit.
¿Microsoft ha publicado un parche?
Todavía no. Microsoft está investigando el problema y asegura que Defender detecta y bloquea los intentos de explotación.
¿Desactivo Defender o la autenticación de CLFS para protegerme?
No. Desactivar cualquiera de las dos deja el equipo más expuesto que antes.
