HardBreacher, pubblicato un exploit per elevare i privilegi in Kaspersky Endpoint Security

Un ricercatore noto come Nightmare Eclipse, o Chaotic Eclipse, ha pubblicato di recente HardBreacher, un exploit proof of concept contro Kaspersky Endpoint Security. Il codice prende di mira il processo che gestisce l’interfaccia utente del prodotto e potrebbe compromettere alcune decisioni di sicurezza dell’endpoint.

Kaspersky ha dichiarato di aver già corretto il problema. La soluzione viene distribuita tramite un aggiornamento automatico; in alternativa, gli utenti possono avviare manualmente l’aggiornamento dei database del prodotto.

Al 31 agosto 2026, tuttavia, mancano diversi elementi necessari per delimitare con precisione l’esposizione: non sono note le versioni vulnerabili, non è stato indicato un CVE e non è disponibile una descrizione completa dei prerequisiti dell’attacco.

HardBreacher agisce sul processo dell’interfaccia di Kaspersky

Nightmare Eclipse descrive HardBreacher come un exploit poco rifinito, ma funzionante. Il bersaglio è il processo dell’interfaccia utente di Kaspersky Endpoint Security, attraverso il quale il PoC riuscirebbe a interferire sia con il controllo dell’interfaccia sia con alcune funzioni di protezione.

Secondo quanto dichiarato dal ricercatore, l’esecuzione dell’exploit può provocare l’arresto o il malfunzionamento del prodotto. L’effetto più delicato riguarda però la gestione degli accessi ai file: HardBreacher potrebbe consentire di autorizzare o negare operazioni che, in condizioni normali, dovrebbero ricevere una decisione differente.

Questo comportamento altererebbe l’integrità delle decisioni prese dal software di sicurezza. Un attaccante potrebbe quindi tentare di sfruttare il prodotto installato sull’endpoint per ottenere capacità non previste, anziché limitarsi a disabilitarne visivamente l’interfaccia.

Il problema viene qualificato come una vulnerabilità di elevazione dei privilegi. Se lo sfruttamento riesce, le conseguenze potrebbero estendersi all’intero sistema operativo. Non è però disponibile una catena tecnica completa che mostri i passaggi dall’interazione con il processo vulnerabile alla compromissione finale.

Versioni vulnerabili e condizioni di attacco non sono note

Non è stato comunicato un elenco delle release interessate. Di conseguenza, non è possibile stabilire quali installazioni di Kaspersky Endpoint Security fossero vulnerabili prima della distribuzione della correzione.

Mancano anche altre informazioni essenziali:

• un identificativo CVE;
• il numero della versione corretta;
• un bollettino tecnico del produttore;
• una valutazione numerica della gravità;
• i privilegi iniziali necessari;
• eventuali interazioni richieste all’utente;
• la necessità di avere già accesso locale all’endpoint;
• una descrizione riproducibile della catena di sfruttamento.

In particolare, la classificazione come elevazione dei privilegi fa pensare a un passaggio da capacità iniziali limitate a permessi superiori, ma le condizioni preliminari non sono state rese note. Non si può quindi affermare se l’attacco richieda l’esecuzione locale di codice, una sessione autenticata o altri requisiti.

Anche l’ampiezza del parco installato esposto rimane indeterminata. Senza numeri di versione, le organizzazioni non possono effettuare una verifica basata soltanto sull’inventario software. Devono invece controllare direttamente che gli aggiornamenti previsti da Kaspersky siano stati ricevuti correttamente.

La pubblicazione del PoC aumenta il rischio, ma non prova uno sfruttamento attivo

La disponibilità pubblica di HardBreacher abbassa la barriera tecnica per analizzare e riprodurre la vulnerabilità. Un proof of concept può essere studiato, modificato e integrato in strumenti più affidabili da soggetti diversi dal suo autore.

Questo non significa, da solo, che siano già in corso attacchi. Non è stata fornita alcuna conferma dell’impiego di HardBreacher in campagne operative né sono stati comunicati indicatori di compromissione attribuiti allo sfruttamento della falla.

Il profilo del ricercatore impone comunque cautela. Negli ultimi mesi Nightmare Eclipse ha diffuso numerosi PoC, concentrandosi soprattutto su vulnerabilità di Windows e Microsoft Defender. La sua attività sarebbe nata dalla frustrazione per il modo in cui Microsoft gestiva le segnalazioni di sicurezza.

La maggior parte di questi exploit sarebbe rimasta a livello dimostrativo. Alcuni, tuttavia, sarebbero stati successivamente utilizzati da attori malevoli in attacchi reali. Questo precedente non dimostra che HardBreacher sia già stato trasformato in un’arma, ma rende meno prudente considerarlo un semplice esercizio di ricerca.

Non è noto se la vulnerabilità sia inclusa nel catalogo Known Exploited Vulnerabilities della CISA. Non sono state indicate né una data di inserimento nel KEV né una scadenza federale per la mitigazione. L’assenza di queste informazioni impedisce di attribuire al problema lo status di falla ufficialmente riconosciuta come sfruttata.

ShieldBreak e LegacyHive fanno parte della stessa serie di divulgazioni

HardBreacher non è l’unico strumento pubblicato di recente da Nightmare Eclipse. Al ricercatore vengono attribuiti anche ShieldBreak e LegacyHive, entrambi presentati come exploit legati all’elevazione dei privilegi.

ShieldBreak sarebbe in grado di consentire a un attaccante di avviare una shell con privilegi System, il livello di autorizzazione più elevato nel contesto ordinario di Windows. LegacyHive viene invece associato più genericamente a una vulnerabilità di privilege escalation.

Non sono stati indicati i vendor, i prodotti o gli eventuali CVE collegati a questi due strumenti. Non è quindi possibile stabilire un rapporto tecnico diretto con Kaspersky Endpoint Security, oltre alla comune attribuzione al ricercatore e alla natura delle vulnerabilità trattate.

La sequenza mostra comunque una strategia di pubblicazione frequente di codice dimostrativo. Per i difensori, questo riduce il tempo disponibile tra la divulgazione di una debolezza e la sua possibile rielaborazione da parte di operatori ostili.

Kaspersky distribuisce la correzione con gli aggiornamenti automatici

Kaspersky ha dichiarato che il problema sfruttato da HardBreacher è stato risolto. La correzione viene consegnata attraverso un aggiornamento automatico del prodotto.

Gli utenti possono anche avviare manualmente un aggiornamento dei database. Non è stato indicato uno specifico pacchetto correttivo, né una release minima che consenta di verificare immediatamente la presenza della patch.

Questo rende decisivo il controllo dell’esito dell’aggiornamento. Non basta presumere che la distribuzione automatica sia avvenuta: endpoint offline, errori di comunicazione o problemi di gestione possono lasciare singoli sistemi indietro rispetto al resto dell’organizzazione.

Gli amministratori dovrebbero quindi:

1. verificare che Kaspersky Endpoint Security abbia ricevuto gli aggiornamenti automatici;
2. avviare manualmente l’aggiornamento dei database sui sistemi che risultano arretrati o non raggiungibili dalla gestione centrale;
3. controllare lo stato del prodotto dopo l’operazione;
4. individuare endpoint che mostrino errori, protezioni disattivate o aggiornamenti non completati;
5. dare priorità ai sistemi sui quali utenti o processi non fidati possono eseguire codice.

In assenza di versioni vulnerabili dichiarate, la strategia più prudente consiste nell’aggiornare tutte le installazioni interessate, senza tentare di limitare l’intervento a una release specifica.

Arresti anomali e decisioni inattese sui file sono i segnali da cercare

Non sono stati pubblicati hash, nomi di file, indirizzi di rete o altri indicatori tecnici direttamente associati a HardBreacher. Il monitoraggio deve quindi concentrarsi sui comportamenti descritti per l’exploit.

I segnali più rilevanti comprendono gli arresti anomali dell’interfaccia di Kaspersky Endpoint Security, la perdita improvvisa di funzionalità di protezione e cambiamenti inattesi nel modo in cui il prodotto autorizza o blocca l’accesso ai file.

Anche ripetuti malfunzionamenti del processo dell’interfaccia, soprattutto se coincidenti con attività locali insolite, meritano un’analisi. Da soli non provano uno sfruttamento: possono dipendere da errori software o configurazioni difettose. Devono però essere correlati con i log dell’endpoint e con eventuali variazioni dello stato di protezione.

La priorità resta l’installazione della correzione. HardBreacher è pubblico, mentre i dettagli necessari per valutare selettivamente l’esposizione non lo sono. In questo scenario, aggiornamento e verifica operativa offrono una difesa più concreta di una valutazione basata su informazioni ancora incomplete.