Windowsの「LegacyHive」に関する新たなゼロデイ脆弱性が、ハッカーに管理者権限を与える

「Nightmare Eclipse」というハンドルネームを使うセキュリティ研究者が、「LegacyHive」と名付けられたWindowsのゼロデイエクスプロイトを公開した。これにより、攻撃者は最新のWindowsシステム上で権限を昇格させることが可能になる。

Nightmare Eclipseは、マイクロソフトが2026年7月の「パッチチューズデー」アップデートを公開してから数時間後に、概念実証（PoC）エクスプロイトを公開した。これによると、このエクスプロイトはWindowsユーザープロファイルサービスのセキュリティ脆弱性を悪用するもので、追跡を容易にするためのCVE IDはまだ割り当てられていないという。

しかし、Nightmare Eclipseが過去に公開したエクスプロイトとは異なり、LegacyHiveのPoCは追加の認証情報を必要とするよう修正されており、攻撃者がこの脆弱性を悪用するのはより困難になっている。

「このPoCでは、別の標準ユーザー資格情報と3つ目のユーザー名（管理者アカウントでも可）が必要です。PoCが成功すると、ターゲットユーザーのハイブが現在のユーザーの『Classes』ルートにマウントされることになります」と、研究者は述べた。

「このPoCは、一般による悪用を防ぐために機能を制限したものです。元のPoCでは追加のユーザー認証情報は必要なく、usrclass.datハイブに限定されていませんでした。この脆弱性を利用すればどのハイブでも読み込むことが可能ですが、PoCでそれを実現するにはある程度の知恵が必要でした。」

Tharrosの主任脆弱性アナリストであるウィル・ドーマン氏は、LegacyHiveのエクスプロイトをテストした後、次のように説明した。攻撃が成功すれば、管理者以外のユーザーでもクラスレジストリハイブを改変でき、侵害されたシステムに管理者アカウントがログインした際にコードが自動的に実行されるようになる。

「例えば、ちょっとした遊びとして、.txtファイルをcalc.exeで開くように関連付けることができます」とドーマン氏は指摘した。「賢い攻撃者や、何かを達成したいと考えている人なら、もっと興味深いことや、ユーザーの操作を一切必要としないようなことを、簡単に思いつくことができるでしょう。」

PoCが公開されてから1日後、サイバーセキュリティ専門家のケビン・ボーモント氏も、このエクスプロイトが機能することを確認し、エンタープライズ向けエンドポイントセキュリティプラットフォーム「Microsoft Defender for Endpoint（MDE）」向けのLegacyHive攻撃検知クエリを公開した。

「マイクロソフトは報告された脆弱性を認識しており、これらの主張の妥当性および潜在的な適用可能性について積極的に調査を行っています。マイクロソフトは、セキュリティ上の問題を調査し、影響を受ける製品を更新して、できるだけ早く顧客を保護することに尽力しています」と、マイクロソフトの広報担当者は本日、LegacyHiveのエクスプロイトに関する声明を求められた際に述べた。

「重要な点として、当社は『協調的脆弱性開示（Coordinated Vulnerability Disclosure）』を支持しています。これは、発見された内容が公表される前に徹底的に調査・対処されることを保証することで、顧客を保護し、研究コミュニティを支援する業界標準です。」

ここ数ヶ月、Nightmare Eclipseは、Microsoft Defender、BitLocker、およびRoguePlanet、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma、UnDefendを含むさまざまなWindowsコンポーネントにおける複数のWindows脆弱性に対するゼロデイエクスプロイトを公開してきました。

マイクロソフトは、先月実施された2026年6月の「パッチ・チューズデー」更新プログラムの一環として、GreenPlasma、MiniPlasma、YellowKeyの脆弱性を修正し、7月のセキュリティ更新プログラムではRoguePlanetの脆弱性を修正した。

マイクロソフトは、Nightmare Eclipseによる情報開示に対し、「当社の顧客に実害をもたらす悪意のある活動」を行う者に対して法的措置を講じる可能性があると警告し、これを受けてサイバーセキュリティの専門家たちは、同社がセキュリティ研究者を直接脅迫していると見なした。

7月17日 10:05 EDT 更新：マイクロソフトの声明を追加しました。