Een kwetsbaarheid in het Windows Common Log Filesystem (CLFS) is gebruikt bij ransomware-aanvallen voordat een beveiligingsupdate beschikbaar was, zo heeft Microsoft laten weten. Het techbedrijf kwam gisterenavond met een patch voor het probleem, aangeduid als CVE-2025-29824. Sinds wanneer aanvallers misbruik van het beveiligingslek maken laat Microsoft niet weten.

Het CLFS is een Windowsonderdeel dat wordt gebruikt voor logging. Applicaties die logbestanden willen opslaan kunnen er gebruik van maken. In de afgelopen jaren zijn er tientallen kwetsbaarheden in CLFS ontdekt. Meerdere daarvan werden actief misbruikt voordat een update van Microsoft beschikbaar was en voor andere verschenen allerlei exploits. Via CVE-2025-29824 kan een aanvaller die al toegang tot een machine heeft SYSTEM-rechten krijgen en zo het systeem volledig compromitteren.

Volgens Microsoft is de kwetsbaarheid ingezet tegen it- en vastgoedbedrijven in de Verenigde Staten, financieel dienstverleners in Venezuela, een Spaans softwarebedrijf en retailbedrijven in Saudi-Arabië. Aanvallers moeten zoals gezegd al toegang tot het systeem hebben en hoe dit bij de ransomware-aanvallen in kwestie werd gedaan weet Microsoft niet. Het techbedrijf heeft verschillende Indicators of compromise gegeven waarmee organisaties kunnen kijken of ze zijn gecompromitteerd.