Microsoft corregge il Windows zero-day “LegacyHive” con le patch di agosto

CVE-2026-62832 consente a un utente locale di ottenere privilegi amministrativi

Microsoft ha corretto con gli aggiornamenti Patch Tuesday di agosto 2026 la vulnerabilità CVE-2026-62832, nota come LegacyHive.

Il difetto riguarda Windows User Profile Service e la gestione dei collegamenti durante l’accesso ai file. Un attaccante locale autenticato, in possesso delle credenziali valide di un altro account sul sistema, può avviare un’applicazione appositamente costruita.

L’exploit consente di caricare l’hive di registro Classes di un altro utente, leggerne o modificarne i dati e predisporre l’esecuzione automatica di codice quando un amministratore accede al computer. Non è richiesta alcuna interazione da parte dell’utente.

L’impatto può quindi arrivare all’acquisizione di privilegi amministrativi.

Il PoC è stato pubblicato dopo gli aggiornamenti di luglio

La falla è stata divulgata dopo il Patch Tuesday di luglio 2026. Il ricercatore noto come Nightmare Eclipse ha pubblicato un exploit proof-of-concept poche ore dopo gli aggiornamenti, criticando le procedure Microsoft di bug bounty e divulgazione.

Microsoft attribuisce formalmente la segnalazione a un ricercatore anonimo e non riconosce Nightmare Eclipse come scopritore della vulnerabilità.

Il PoC richiede credenziali aggiuntive rispetto ad altri exploit pubblicati dallo stesso ricercatore. Questo riduce la facilità di trasformarlo in uno strumento d’attacco operativo, ma non ne annulla il rischio: l’esperto Kevin Beaumont ne ha confermato il funzionamento.

Beaumont ha inoltre pubblicato query di rilevamento per Microsoft Defender for Endpoint (MDE) il giorno successivo alla diffusione del codice.

Chi è esposto e quali sistemi aggiornare

Sono coinvolti i sistemi Microsoft Windows che includono Windows User Profile Service e l’hive di registro Classes. Il brief non indica un elenco più dettagliato delle singole build interessate.

Gli amministratori dovrebbero installare gli aggiornamenti ufficiali del Patch Tuesday di agosto 2026, che correggono CVE-2026-62832. È inoltre opportuno:

• limitare e monitorare l’uso di credenziali locali valide;
• controllare le modifiche agli hive di registro;
• applicare le query LegacyHive disponibili per Microsoft Defender for Endpoint;
• verificare eventuali attività sospette legate al caricamento dell’hive di un altro utente.

Disponibili anche patch non ufficiali 0Patch

ACROS Security ha distribuito il 20 luglio patch gratuite non ufficiali tramite 0Patch per:

• Windows 10 2004 o versioni successive;
• Windows Server 2022 o versioni successive.

Questi interventi possono offrire una copertura temporanea, ma non sostituiscono l’aggiornamento Microsoft quando disponibile.

LegacyHive fa parte di una serie di zero-day divulgati da Nightmare Eclipse da aprile 2026: ShieldBreak, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma e UnDefend, riguardanti Microsoft Defender, BitLocker e altri componenti Windows. Microsoft ha già corretto YellowKey, GreenPlasma e MiniPlasma a giugno 2026, oltre a RoguePlanet a luglio 2026; per gli altri non risulta ancora disponibile una patch ufficiale.