--- title: "Araştırmacı Nightmare Eclipse'ten Windows sıfırıncı gün açığı: Sistem yetkisi ele geçirme" url: "https://teknotayf.com/haber/arastirmaci-nightmare-eclipse-ten-windows-sifirinci-gun-acigi-sistem-yetkisi-ele-gecirme" markdown_url: "https://teknotayf.com/haber/arastirmaci-nightmare-eclipse-ten-windows-sifirinci-gun-acigi-sistem-yetkisi-ele-gecirme.md" site: "teknotayf.com" language: "tr" published: "2026-11-13 19:26:32" updated: "2026-11-13 17:33:14" category: "Siber Güvenlik" tags: ["Sıfırıncı Gün","Nightmare Eclipse","Yetki Yükseltme","Windows Güvenlik Açığı"] source: "Ars Technica" --- # Araştırmacı Nightmare Eclipse'ten Windows sıfırıncı gün açığı: Sistem yetkisi ele geçirme > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/arastirmaci-nightmare-eclipse-ten-windows-sifirinci-gun-acigi-sistem-yetkisi-ele-gecirme > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Microsoft'la açık bir anlaşmazlığı olan araştırmacı Nightmare Eclipse, yerel kullanıcıların Sistem yetkisi kazanmasını sağlayan SignDrop adlı Windows sıfırıncı gün açığını paylaştı. Açık, CLFS hizmeti ile Windows Defender etkileşiminden kaynaklanıyor ve ekim 2025'te eklenen bir güvenlik önleminin tersine kullanılmasıyla çalışıyor. Araştırmacı Will Dormann açığın belirli Windows 11 26H2 kurulumlarında yeniden üretilebildiğini doğruladı. - **Yayın tarihi:** 2026-11-13 19:26 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Sıfırıncı Gün, Nightmare Eclipse, Yetki Yükseltme, Windows Güvenlik Açığı - **Yazan:** TeknoTayf.com - **Kaynak:** [Ars Technica](https://arstechnica.com/security/2026/11/windows-0-day-dropped-by-disgruntled-researcher-hands-hackers-system-rights/) ![Araştırmacı Nightmare Eclipse'ten Windows sıfırıncı gün açığı: Sistem yetkisi ele geçirme](https://teknotayf.com/assets/uploads/2026/11/67b5530c35bdd6df0901aad8d69e411f.jpg) Microsoft'la devam eden açık bir anlaşmazlığı bulunan bir araştırmacının takma adı olan **Nightmare Eclipse**, bir Windows sıfırıncı gün açığı daha paylaştı. Salı günü Nightmare Eclipse, bazı Windows sürümlerinde yerel kullanıcılara tam **Sistem yetkisi** veren SignDrop adını verdiği bir güvenlik açığını açıkladı. Açık, Microsoft'un "kullanıcı modunda veya çekirdek modunda çalışan yazılım istemcileri tarafından kullanılan genel amaçlı bir günlük kaydı hizmeti" olarak tanımladığı Common Log File System'de bulunuyor. Saldırgan, Windows Defender gibi ayrıcalıklı bir sürecin hazırlanmış bir CLFS kapsayıcısını açmasını sağlayarak sıradan kullanıcı haklarıyla ayrıcalıklı dosya oluşturmayı kötüye kullanıp yetkilerini Sistem düzeyine yükseltebiliyor. ## Windows savunmasını kendisine karşı çevirmek Saldırı, CLFS, Windows Defender ve Windows dosya izinlerinin etkileşimini sömürüyor. Sömürü, antivirüs imza güncellemelerini işlemek için kullanılan meşru bir Defender işlevi olan ServerMpUpdateEngineSignature çağrılarak standart bir kullanıcı tarafından oluşturulan bir günlük dosyasını Defender'ın açmasını sağlıyor. Windows Object Manager sembolik bağlantılarını manipüle ederek saldırgan, Defender'ın CLFS kapsayıcısını antimalware motorunun güvenlik bağlamında açmasına neden oluyor. İlgili bir kimlik doğrulama dosyası eksikse CLFS, dosyayı Defender'ın Sistem ayrıcalıklarıyla oluşturuyor. CLFS, yeni oluşturulan dosyaya orijinal dosyanın İsteğe Bağlı Erişim Denetim Listesi'ni atadığı için saldırgan, Sistem ayrıcalıklarıyla oluşturulmuş bir dosyaya erişim sağlayabiliyor ve bu da dosya oluşturma işleminin yetki yükseltme saldırısının bir parçası olarak kötüye kullanılmasına olanak tanıyor. İronik olarak açık, Microsoft'un ekim 2025'te CLFS'teki diğer güvenlik açıklarından yararlanmayı engellemek için tanıttığı bir güvenlik önleminden kaynaklanıyor. "Her şey doğru şekilde zincirlendiğinde, komik bir şekilde bu meşru güvenlik önlemi kendisine karşı kullanılabilir ve yetki yükseltmesine izin verebilir," diye yazdı Nightmare Eclipse. "Microsoft burada her şeyi doğru yapıyor ama mantık kötüye kullanımı mümkün kılıyor." Araştırmacı devam etti: "Daha komik olan şey, bunun herhangi bir antimalware motoruna karşı kullanılabilmesi ve kendi kendini savunma mekanizmasını, yani müdahale korumasını atlatabilmesi. Kendi antimalware sürecinin bağlamında keyfi dosya oluşturmayı tetikleyebiliyorsunuz, böylece çekirdek sürücülerinin bakış açısından dosya oluşturma isteği kendi meşru sürecinden geliyor ve geçiyor. Bu, herhangi bir antivirüs/EDR'yi kapatmak için kullanılabilmesi bakımından bu açığı benzersiz kılıyor." Nightmare Eclipse, sömürünün Windows 11 26H2, Windows 11 26H2 Deneysel ve Windows Server 2025 Deneysel'e karşı çalıştığını söyledi. Sistemlerin savunmasız olup olmadığı CLFS kimlik doğrulama modu kontrol edilerek anlaşılabiliyor. Mod öğrenme veya uygulama modundaysa sistem savunmasız ve gönderide sunulan PoC, SYSTEM kabuğu oluşturmalı. Nightmare Eclipse son aylarda çok sayıda başka Windows sıfırıncı gün açığı yayımladı. Araştırmacı Will Dormann bir röportajda sömürüyü yeniden üretebildiğini ve anlatıldığı gibi çalıştığını, ancak tüm Windows 11 sürümlerinde değil, söyledi. Ama bir püf noktası var, dedi. "Gereksinimler önemli çünkü bunun Windows 26H2'yi gerektirdiği ve 90 günden uzun süredir var olan bir sürüm olması gerektiği görünüyor," diye açıkladı. "Yani yeni bir 26H2 sistemi alıp güncellemeleri yükleyip çalışmasını bekleyemezsiniz." Sistemin savunmasız olması için Dormann'a göre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode değerinin 0 veya 1 olması gerekiyor. Dormann'ın kullandığı birçok makineden yalnızca biri bu gereksinimi karşılıyordu. Microsoft, 26H2 gibi Windows güncellemelerini kademeli olarak yayımlıyor, bu yüzden kaç kişinin bunu aldığı net değil. Durum "winver" komutu çalıştırılarak kontrol edilebiliyor. Microsoft temsilcileri yorum talebine e-posta yoluyla yanıt vermedi. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/arastirmaci-nightmare-eclipse-ten-windows-sifirinci-gun-acigi-sistem-yetkisi-ele-gecirme Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.