「Nightmare Eclipse」がWindowsのゼロデイ脆弱性「LegacyHive」を公開

Microsoft製品を狙ったゼロデイ攻撃コードを次々と公開してきた、不満を抱えたセキュリティ研究者「Nightmare Eclipse」が今週、また新たな未パッチのWindows脆弱性を公開しました。それも、2026年7月のPatch Tuesdayに合わせてのタイミングです。

今回の新たなエクスプロイトは「LegacyHive」と名付けられており、Windows User Profile Serviceに存在するローカル権限昇格の脆弱性です。攻撃者が管理者を含む他のユーザーのハイブを読み込めてしまいます。

「Chaotic Eclipse」の別名でも知られるNightmare Eclipseは、Microsoftの2026年7月パッチを適用したシステム上でも動作する、概念実証(PoC)コードを公開しました。

この研究者は次のように説明しています。「このPoCは、別の標準ユーザーの認証情報と、3つ目のユーザー名(管理者アカウントでも可)を必要とします。成功すると、対象ユーザーのハイブが現在のユーザーのクラスルートにマウントされる形になります」

これまでNightmare Eclipseが公開してきたゼロデイ攻撃コードとは異なり、LegacyHiveについては、脆弱性の悪用が実際の攻撃に広がるのを防ぐため、機能を絞った(stripped)PoCとして公開されています。

この研究者によると、当初のエクスプロイトはユーザーの認証情報を必要とせず、usrclass.datハイブだけでなく任意のハイブを読み込めるものだったといいます。同研究者は、それは今でも可能ではあるものの、実現にはある程度の作業が必要になるだろうと述べています。

Nightmare Eclipseはこれまでに、Microsoft製品に関するゼロデイ脆弱性を半ダース以上公開してきました。実際の攻撃で悪用されたBlueHammer、RedSun、UnDefendのほか、GreenPlasma、RoguePlanet、YellowKey、GreatXMLなどが含まれます。

SecurityWeekの取材に対し、Microsoftの広報担当者は、LegacyHiveのエクスプロイトについて調査中であるとコメントしています。

「Microsoftは、報告された脆弱性を認識しており、その主張の妥当性と潜在的な適用範囲について積極的に調査を進めています。Microsoftは、セキュリティ問題の調査と、お客様を保護するための影響製品の更新に、可能な限り速やかに取り組むことをお約束します。重要な点として、当社は協調的な脆弱性開示という業界標準を支持しています。これは、調査結果が公開される前に十分な調査と対処が行われることを保証することで、お客様を保護し、研究コミュニティを支援するものです」

※Microsoftからの声明を追記して更新。