Microsoft、Windowsゼロデイ脆弱性「LegacyHive」にパッチを提供

Microsoftは、2026年7月のパッチチューズデー後に公表されたWindowsのゼロデイ脆弱性「LegacyHive」に対処するセキュリティパッチをリリースしました。

この脆弱性は、Microsoftのバグバウンティおよび脆弱性開示のあり方に対する抗議として「Nightmare Eclipse」というハンドルネームを使うセキュリティ研究者によって公表されました。

Nightmare Eclipseは、2026年7月のパッチチューズデーのセキュリティ更新プログラムがリリースされた数時間後にLegacyHiveの概念実証(PoC)エクスプロイトを公開し、Windows User Profile Serviceのセキュリティ脆弱性を悪用するものだと主張しました。

ただし、これまでに公開してきた他のエクスプロイトとは異なり、このLegacyHiveのPoCは追加の認証情報を必要とするため、脅威アクターが悪用するハードルはやや高くなっています。

「Microsoftは報告された脆弱性を認識しており、これらの主張の妥当性と潜在的な適用範囲について積極的に調査を進めています」と、Microsoftの広報担当者はLegacyHiveに関するコメントを求めたBleepingComputerに対して述べています。

脆弱性アナリストのWill Dormann氏は、非管理者ユーザーがNightmare Eclipseのエクスプロイトを使ってクラスレジストリハイブを変更し、管理者アカウントが侵害されたシステムにログインした際に自動的にコード実行権限を得られると説明しています。

PoC公開の翌日には、サイバーセキュリティ専門家のKevin Beaumont氏もMicrosoft Defender for Endpoint(MDE)向けのLegacyHive悪用検知クエリを公開し、 このエクスプロイトが実際に機能することを確認しました。

公式のLegacyHiveパッチが利用可能に

Microsoftは今週、8月のパッチチューズデーの更新プログラムの一環としてこの脆弱性への対応を完了し、現在はCVE-2026-62832として追跡しています。ただし、Nightmare Eclipseがこの脆弱性を発見したことはまだ認めておらず、代わりに匿名の研究者からの報告として扱っています。

同社によると、LegacyHiveはWindows User Profile Serviceにおけるファイルアクセス前のリンク解決の不備(いわゆる「リンクフォロー」問題)に起因しており、悪用に成功するとローカルの攻撃者が管理者権限を取得できてしまうとのことです。

「別のローカルアカウントの認証情報を持つ認証済みの攻撃者は、特別に細工したアプリケーションを実行して別のユーザーのレジストリハイブを読み込ませることができます」とMicrosoftは述べています。「悪用に成功すると、攻撃者は他のユーザーのデータへのアクセスや改ざんが可能になり、管理者権限を取得できる可能性があります。ユーザーの操作は必要ありません」

0Patchサイバーセキュリティプラットフォームを手がけるACROS Securityも、Windows 10 2004以降およびWindows Server 2022以降で動作するシステム向けに、7月20日に無料の非公式LegacyHiveパッチを公開しました。

Nightmare Eclipseは2026年4月以降、複数のゼロデイ脆弱性を公表しており、Microsoft DefenderやBitLockerなどのWindowsコンポーネントに関するShieldBreak、LegacyHive、RoguePlanet、YellowKey、BlueHammer、RedSun、GreenPlasma、MiniPlasma、UnDefendが含まれます。

MicrosoftはYellowKey、GreenPlasma、MiniPlasmaの各脆弱性を2026年6月のパッチチューズデーで、RoguePlanetの脆弱性を7月にそれぞれ修正済みですが、それ以外のゼロデイ脆弱性については依然として公式パッチが提供されていません。