- 研究者「Chaotic Eclipse」が、ユーザーレジストリハイブを狙うローカル権限昇格バグ、新たなWindows 11ゼロデイ「LegacyHive」を公開
- この不具合を悪用すれば攻撃者は低権限アカウントを昇格させられる可能性があるものの、事前にデバイスへのアクセスが必要。CVEも完全なPoCも公開されていない
- 専門家は、熟練した攻撃者であれば短期間で武器化できる可能性があると警告し、過去の公開情報に比べ影響度は低く見えるものの、インテリジェンスチームには対策の準備を呼びかけている
Microsoftに強い不満を抱くことで知られるセキュリティ研究者Chaotic Eclipseは、以前から予告していた通り、フルパッチ適用済みのWindows 11デバイスを対象とする新たなゼロデイ脆弱性を公開しました。
ただし、他の研究者たちは、これを過去の公開情報ほど危険なものとは見ていません。
Chaotic Eclipseが公開したゼロデイは「LegacyHive」と呼ばれるもので、Windowsのユーザーハイブを標的とするローカル権限昇格(LPE)の不具合です。
権限昇格の手口
数カ月前、Chaotic Eclipseというハンドルネームのハッカー/研究者が、フルパッチ適用済みのWindows 11システムを対象に、動作するエクスプロイトをPoC付きで次々と公開し始めました。Microsoftが不誠実な形で自分に対応したと主張し、研究者に対して同社が然るべき敬意を払っていないと訴えています。
この研究者はこれまでに合計7件のエクスプロイトを公開しており、その中には特に深刻なものも含まれていました。そして2026年7月14日に「骨をも砕くような(bone-shattering)」ものを公開すると予告していました。この間、Microsoftはまず、この研究者が脆弱性を「責任ある」形で開示していないと批判し、一時は法的措置も辞さない構えを見せていました。しかし結局は訴訟に踏み切らず、世間からの強い反発もあり、その後は脅しを完全に撤回しています。
Windowsにおけるユーザーハイブとは、個々のユーザーアカウント固有の設定情報を保存するレジストリファイルです。これにはデスクトップの環境設定、ユーザー固有のアプリケーション設定、ネットワークドライブのマッピング、ユーザー固有のセキュリティ・プライバシー設定などが含まれます。
LegacyHiveを使えば、脅威アクターは理論上、他のユーザーのハイブに対して権限を持った読み書きアクセスを獲得できる可能性があります。言い換えれば、低権限アカウントを高権限アカウントへと変えてしまえるということです。ただし、その前にまずそのデバイスへの何らかのアクセスを得ておく必要があり、これが一部のセキュリティ研究者がChaotic Eclipseの過去の公開情報ほど深刻ではないと見ている理由の一つになっています。
また、LegacyHiveが過去の公開情報と異なる点として、今回はCVE識別子も、完全に機能するPoC(概念実証コード)も公開されていないことが挙げられます。
それでもセキュリティ専門家たちは、熟練した脅威アクターであれば比較的容易にこの不足部分を補い、LegacyHiveを強力な武器へと変えてしまう可能性があるとして、インテリジェンスチームに迅速な対応を呼びかけています。
