Microsoft łata LegacyHive: zero-day w Windows umożliwiał lokalną eskalację uprawnień

Wprowadzenie do problemu / definicja

Microsoft usunął podatność zero-day o nazwie LegacyHive, sklasyfikowaną jako CVE-2026-62832, która dotyczy usługi Windows User Profile Service. Luka umożliwiała lokalnemu, uwierzytelnionemu atakującemu manipulację hive rejestru innego użytkownika, co w określonych warunkach mogło prowadzić do eskalacji uprawnień i przejęcia kontroli administracyjnej nad systemem.

Choć nie jest to podatność zdalna, jej znaczenie operacyjne pozostaje wysokie. W realnych incydentach błędy local privilege escalation często stanowią kluczowy etap po wstępnej kompromitacji hosta, pozwalając atakującym przejść od ograniczonego dostępu do pełnej kontroli nad środowiskiem.

W skrócie

LegacyHive otrzymał identyfikator CVE-2026-62832.
Podatność dotyczy usługi Windows User Profile Service.
Błąd wynika z nieprawidłowego rozwiązywania odwołań przed dostępem do plików.
Atak wymaga lokalnego dostępu oraz poświadczeń do innego konta użytkownika.
Microsoft opublikował oficjalną poprawkę w ramach sierpniowego Patch Tuesday 2026.
Wcześniej publicznie dostępny był proof-of-concept oraz nieoficjalne mikropoprawki.

Kontekst / historia

O LegacyHive zrobiło się głośno po publikacji proof-of-concept przez badacza działającego pod pseudonimem Nightmare Eclipse. Ujawnienie nastąpiło krótko po lipcowym cyklu aktualizacji bezpieczeństwa Microsoftu, co przyciągnęło uwagę badaczy i administratorów monitorujących nowe wektory lokalnej eskalacji uprawnień w systemach Windows.

Choć scenariusz wykorzystania nie był całkowicie trywialny, ponieważ wymagał dodatkowych poświadczeń, społeczność bezpieczeństwa szybko potwierdziła praktyczną wykonalność ataku. W reakcji pojawiły się zarówno reguły detekcyjne dla środowisk telemetrycznych, jak i nieoficjalne mikropoprawki, zanim producent dostarczył pełną, oficjalną łatę bezpieczeństwa.

Analiza techniczna

Źródłem problemu było nieprawidłowe rozwiązywanie odwołań przed uzyskaniem dostępu do plików w komponencie Windows User Profile Service. Tego typu błąd może prowadzić do sytuacji, w której proces operujący na profilu użytkownika wykonuje działania na zasobach innych niż zamierzone, jeśli atakujący potrafi odpowiednio przygotować środowisko i wskazania do przetwarzanych plików lub gałęzi rejestru.

W praktyce atak polegał na wykorzystaniu konta z ograniczonymi uprawnieniami, które miało jednak dostęp do poświadczeń innego lokalnego użytkownika. Pozwalało to załadować cudzy hive rejestru i modyfikować jego zawartość. W dalszym etapie możliwe było przygotowanie zmian wpływających na zachowanie środowiska użytkownika podczas logowania, co otwierało drogę do uruchomienia kontrolowanego kodu w kontekście bardziej uprzywilejowanego konta.

Z perspektywy obronnej istotne jest, że LegacyHive nie zapewnia bezpośredniego zdalnego wykonania kodu. Nie oznacza to jednak niskiego ryzyka. W nowoczesnych łańcuchach ataku luka tego typu może zostać wykorzystana po phishingu, infekcji malware, kradzieży poświadczeń lub ruchu bocznym, aby dokończyć kompromitację systemu i uzyskać trwałe, administracyjne uprawnienia.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją LegacyHive jest możliwość eskalacji uprawnień do poziomu administracyjnego. Dla atakującego oznacza to szansę na wyłączenie części mechanizmów ochronnych, pozyskanie dodatkowych sekretów, osadzenie trwałości w systemie oraz wykorzystanie hosta jako punktu wyjścia do dalszych działań w sieci organizacji.

Ryzyko jest szczególnie istotne w środowiskach, w których występują współdzielone stacje robocze, wieloużytkownikowe serwery lub częste logowania kont uprzywilejowanych na systemach o niższym poziomie zaufania. Problem staje się jeszcze poważniejszy tam, gdzie organizacje opóźniają wdrażanie poprawek, nie stosują zasady najmniejszych uprawnień albo dopuszczają szerokie użycie lokalnych kont administracyjnych.

Eskalacja z konta standardowego do administracyjnego.
Zwiększenie skuteczności malware po początkowej infekcji.
Możliwość przygotowania trwałości i dalszego ruchu bocznego.
Wyższe ryzyko dla systemów, na których logują się administratorzy.

Rekomendacje

Priorytetem powinno być jak najszybsze wdrożenie oficjalnych sierpniowych aktualizacji bezpieczeństwa Microsoftu usuwających CVE-2026-62832. Organizacje, które wcześniej zastosowały obejścia lub mikropoprawki, powinny upewnić się, że nie powodują one konfliktów z oficjalnym pakietem aktualizacji i że zostały odpowiednio zweryfikowane po wdrożeniu.

Równolegle warto przeprowadzić przegląd praktyk administracyjnych i telemetrycznych. Sama instalacja poprawki nie eliminuje bowiem ryzyka historycznej kompromitacji ani nie rozwiązuje problemów proceduralnych, które mogły ułatwić wykorzystanie tej klasy błędów.

Zainstalować najnowsze poprawki bezpieczeństwa dla wspieranych wersji Windows.
Przeanalizować logowania interaktywne kont uprzywilejowanych na stacjach i serwerach.
Ograniczyć użycie lokalnych kont administracyjnych oraz egzekwować zasadę least privilege.
Monitorować nietypowe operacje na hive rejestru użytkowników.
Dostosować reguły EDR i telemetrykę do wykrywania prób ładowania oraz modyfikacji cudzych gałęzi rejestru.
Sprawdzić systemy pod kątem śladów wykorzystania publicznie dostępnego PoC.
Ograniczyć możliwość przechowywania i ponownego użycia poświadczeń na hostach końcowych.

Podsumowanie

LegacyHive pokazuje, że lokalne podatności eskalacyjne nadal pozostają bardzo cennym narzędziem w arsenale atakujących. Nawet jeśli luka nie umożliwia bezpośredniego zdalnego przejęcia systemu, jej wartość rośnie w praktycznych scenariuszach intruzji, gdzie pozwala zamienić ograniczony dostęp w kontrolę administracyjną.

Dla zespołów bezpieczeństwa to kolejny sygnał, że skuteczna obrona wymaga nie tylko szybkiego patchowania, ale również kontroli nad użyciem kont uprzywilejowanych, ograniczania ekspozycji poświadczeń oraz stałego monitorowania działań związanych z profilem użytkownika i rejestrem systemowym.