LegacyHive:未パッチのWindows権限昇格エクスプロイトが公開

著名なセキュリティ研究者Nightmare-Eclipse氏が、Windows 10および11に影響を及ぼす未パッチのローカル権限昇格の脆弱性を、またもや公開しました。今回の公開は、Microsoftへの計算された報復行為として仕組まれたもので、同研究者は2026年7月のパッチチューズデー直後というタイミングを意図的に狙って情報を公開しました。この戦略的なタイミングにより、Microsoftは月例セキュリティサイクルに修正を組み込む機会を完全に奪われ、本来であれば公開前に脆弱性を無力化できていたはずの対応ができなくなりました。

LegacyHive脆弱性の詳細

今回新たに公開されたエクスプロイトは、主にローカル権限昇格を可能にするものです。「LegacyHive」と名付けられたこの脆弱性は、2026年7月のセキュリティパッチを完全に適用したシステムでも依然として悪用可能な状態にあります。公開情報によると、この脆弱性はWindows User Profile Service内に存在し、レジストリハイブの読み込み方法に起因する悪用可能な欠陥が原因だとされています。

機能する概念実証(PoC)コードは弱体化された形ではあるものの、LegacyHiveのGitHubリポジトリで公開されています。ただし、深刻なセキュリティ上の影響を考慮し、公開版は意図的に緩和措置が施されています。これに対し、非公開のオリジナル版では、追加のユーザー認証情報を必要とせずに権限昇格を達成できるとされています。

エクスプロイトの前提条件と影響範囲

現在公開されている改変版のPoCは、成功のためにいくつかの前提条件を必要とします。具体的には、追加の標準ユーザーの認証情報と、3つ目のユーザー名が必要です。エクスプロイトの実行に成功すると、標的ユーザーのレジストリハイブが、実行中のユーザーのHKCRパス配下にマウントされます。この脆弱性はコンシューマー向けのWindows 10・11に限らず、複数のバージョンのWindows Serverにも影響を及ぼします。

こうした前提条件があるため、このエクスプロイトの実行には事前にローカルでの実行権限が必要であり、リモートから直接悪用することはできません。とはいえ、ワークステーションが標準ユーザー権限に制限されていることが一般的な企業環境では、この種の脆弱性は依然として深刻な脅威となります。攻撃者がこの脆弱性を悪用して権限昇格に成功した場合、横展開やシステム全体への被害拡大のリスクは飛躍的に高まります。

Microsoftに対する報復キャンペーン

今回の公開は、報復キャンペーンとして広く受け止められています。Nightmare-Eclipse氏は今年に入ってから、ローカル権限昇格の欠陥やMicrosoft BitLocker暗号化を回避する手法を含む、複数の深刻なWindowsの脆弱性を公にしてきました。これらのゼロデイ公開は、セキュリティコミュニティ内で激しい議論を巻き起こしました。

Microsoftは、責任ある協調的な情報開示のガイドラインに従わなかったとして同研究者を非難し、未パッチの脆弱性や機能するエクスプロイトコードを公開することはエンドユーザーのリスクを不必要に拡大させると主張しています。一方Nightmare-Eclipse氏は、Microsoftとの過去のやり取りが決裂したと主張しており、具体的な詳細は明らかにされていないものの、不満の残る非生産的な対話が今回の一連の公開の直接的なきっかけになったとしています。

激化する対立とアカウント停止

こうした一連の対立を受け、同研究者のGitHub、GitLab、およびMicrosoft Security Response Center(MSRC)のアカウントは停止されました。それでも同研究者はひるむことなく新たなアカウントを作成し、ゼロデイエクスプロイトの公開を続けています。Microsoftと同研究者の関係は、誰の目にも明らかなほど険悪な状態にあります。

Nightmare-Eclipse氏が今後も未パッチのエクスプロイトを公開し続けることは、ほぼ確実視されています。Microsoftが外部の研究者とのコミュニケーション体制やバグ報奨金制度を改善しない限り、こうした独断的な情報開示は今後も増加していくとみられます。