Microsoft corrige le zero-day Windows « LegacyHive » avec les correctifs d’août

CVE-2026-62832 permet à un utilisateur local d’obtenir des privilèges administrateur

Microsoft a corrigé, dans les mises à jour du Patch Tuesday d’août 2026, la vulnérabilité CVE-2026-62832, connue sous le nom de LegacyHive.

Le défaut concerne le Windows User Profile Service et la gestion des liens lors de l’accès aux fichiers. Un attaquant local authentifié, disposant d’identifiants valides pour un autre compte du système, peut lancer une application spécialement conçue.

L’exploit permet de charger la ruche de registre Classes d’un autre utilisateur, d’en lire ou d’en modifier les données, puis de préparer l’exécution automatique de code lorsqu’un administrateur se connecte à l’ordinateur. Aucune interaction de l’utilisateur n’est requise.

L’impact peut donc aller jusqu’à l’obtention de privilèges administrateur.

Le PoC a été publié après les mises à jour de juillet

La faille a été divulguée après le Patch Tuesday de juillet 2026. Le chercheur connu sous le pseudonyme Nightmare Eclipse a publié un exploit de preuve de concept quelques heures après les mises à jour, critiquant les procédures de bug bounty et de divulgation de Microsoft.

Microsoft attribue officiellement le signalement à un chercheur anonyme et ne reconnaît pas Nightmare Eclipse comme le découvreur de la vulnérabilité.

Le PoC nécessite des identifiants supplémentaires par rapport à d’autres exploits publiés par le même chercheur. Cela réduit la facilité avec laquelle il peut être transformé en outil d’attaque opérationnel, sans toutefois éliminer le risque : l’expert Kevin Beaumont en a confirmé le fonctionnement.

Beaumont a également publié, le lendemain de la diffusion du code, des requêtes de détection pour Microsoft Defender for Endpoint (MDE).

Qui est exposé et quels systèmes mettre à jour

Les systèmes Microsoft Windows qui intègrent le Windows User Profile Service et la ruche de registre Classes sont concernés. Le brief ne fournit pas de liste plus détaillée des builds affectées.

Les administrateurs doivent installer les mises à jour officielles du Patch Tuesday d’août 2026, qui corrigent CVE-2026-62832. Il est également recommandé de :

• limiter et surveiller l’utilisation d’identifiants locaux valides ;
• contrôler les modifications apportées aux ruches de registre ;
• appliquer les requêtes LegacyHive disponibles pour Microsoft Defender for Endpoint ;
• rechercher toute activité suspecte liée au chargement de la ruche d’un autre utilisateur.

Des correctifs non officiels 0Patch également disponibles

ACROS Security a distribué le 20 juillet des correctifs non officiels gratuits via 0Patch pour :

• Windows 10 2004 ou versions ultérieures ;
• Windows Server 2022 ou versions ultérieures.

Ces mesures peuvent fournir une protection temporaire, mais elles ne remplacent pas la mise à jour Microsoft lorsqu’elle est disponible.

LegacyHive fait partie d’une série de zero-day divulgués par Nightmare Eclipse depuis avril 2026 : ShieldBreak, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma et UnDefend, qui concernent Microsoft Defender, BitLocker et d’autres composants Windows. Microsoft a déjà corrigé YellowKey, GreenPlasma et MiniPlasma en juin 2026, ainsi que RoguePlanet en juillet 2026 ; aucun correctif officiel ne semble encore disponible pour les autres.