Microsoft łata LegacyHive: zero-day w Windows umożliwiał lokalną eskalację uprawnień

Wprowadzenie do problemu / definicja

Microsoft opublikował poprawki bezpieczeństwa usuwające podatność typu zero-day o nazwie LegacyHive, która dotyczy systemu Windows. Luka została powiązana z usługą Windows User Profile Service i należy do klasy lokalnych podatności eskalacji uprawnień, czyli błędów pozwalających atakującemu zwiększyć poziom dostępu po wcześniejszym uzyskaniu dostępu do systemu.

W praktyce oznacza to, że napastnik działający z poziomu zwykłego, uwierzytelnionego konta może próbować przejąć kontrolę nad zasobami innych użytkowników, w tym kont administracyjnych. Tego rodzaju podatności są szczególnie groźne jako element większego łańcucha ataku.

W skrócie

LegacyHive została publicznie ujawniona po lipcowym Patch Tuesday 2026, a niedługo później pojawił się kod PoC demonstrujący możliwość wykorzystania błędu. Microsoft zaadresował problem w sierpniowym cyklu aktualizacji i przypisał mu identyfikator CVE-2026-62832.

podatność dotyczy systemu Windows i usługi Windows User Profile Service,
umożliwia lokalną eskalację uprawnień,
wymaga wcześniejszego uwierzytelnienia w systemie,
może prowadzić do dostępu do danych innych użytkowników oraz ich modyfikacji,
zwiększa ryzyko przejęcia uprawnień administracyjnych.

Kontekst / historia

Sprawa LegacyHive zyskała rozgłos po publikacji proof-of-concept przez badacza występującego pod pseudonimem Nightmare Eclipse. Ujawnienie nastąpiło krótko po wydaniu lipcowych aktualizacji bezpieczeństwa i wywołało dyskusję wokół procesu disclosure oraz praktyk związanych z bug bounty.

Początkowe analizy wskazywały, że exploit nie należy do najprostszych w operacyjnym użyciu, ponieważ wymaga dodatkowych poświadczeń lokalnego konta. Mimo to niezależni badacze szybko potwierdzili techniczną wykonalność scenariusza ataku, a w środowisku bezpieczeństwa zaczęły pojawiać się zarówno zapytania detekcyjne dla platform EDR, jak i nieoficjalne mikropoprawki dla wybranych wersji Windows.

Analiza techniczna

Z technicznego punktu widzenia LegacyHive wynika z nieprawidłowego rozwiązywania odwołań przed dostępem do pliku, czyli błędu z kategorii link following. Problem występuje w komponencie odpowiedzialnym za obsługę profili użytkowników i może prowadzić do nieprawidłowego załadowania gałęzi rejestru innego użytkownika.

Tego typu podatności pojawiają się wtedy, gdy system operacyjny operuje na ścieżkach lub obiektach pośrednich bez pełnej walidacji ich celu i kontekstu bezpieczeństwa. W efekcie atakujący może manipulować procesem ładowania hive’ów rejestru tak, aby zmodyfikować określone elementy środowiska innego użytkownika.

W opisywanym scenariuszu może to prowadzić do automatycznego wykonania kodu przy logowaniu konta administracyjnego na wcześniej skompromitowanym hoście. Nie jest to zatem klasyczne zdalne wykonanie kodu, lecz lokalna eskalacja uprawnień, która staje się szczególnie niebezpieczna po phishingu, kradzieży poświadczeń lub uruchomieniu malware w kontekście zwykłego użytkownika.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem skutecznego wykorzystania LegacyHive jest przejście z poziomu zwykłego użytkownika do uprawnień administracyjnych. Taki scenariusz otwiera drogę do trwałej kompromitacji systemu, wyłączenia mechanizmów ochronnych, pozyskania kolejnych poświadczeń oraz dalszego ruchu bocznego w środowisku.

Ryzyko jest szczególnie wysokie w organizacjach, w których użytkownicy standardowi i uprzywilejowani logują się do tych samych systemów. Dotyczy to zwłaszcza środowisk współdzielonych, takich jak serwery terminalowe, VDI, RDS czy jump servery.

możliwość przejęcia kont administracyjnych,
dostęp do danych i ustawień innych użytkowników,
utrwalenie obecności atakującego w systemie,
manipulacja politykami bezpieczeństwa i mechanizmami ochronnymi,
ułatwienie kolejnych etapów ataku w sieci organizacji.

Rekomendacje

Podstawowym działaniem obronnym jest niezwłoczne wdrożenie sierpniowych poprawek Microsoftu obejmujących CVE-2026-62832. Organizacje powinny potwierdzić, że wszystkie wspierane wersje Windows zostały zaktualizowane, a wdrożenie łatek zostało poprawnie zarejestrowane w systemach zarządzania poprawkami.

Poza samym patchowaniem warto wdrożyć dodatkowe środki ograniczające skutki podobnych luk lokalnych:

ograniczyć współdzielenie hostów przez użytkowników standardowych i administratorów,
zminimalizować użycie lokalnych kont uprzywilejowanych,
stosować dedykowane stacje administracyjne,
monitorować nietypowe operacje na gałęziach rejestru użytkowników i zdarzenia ładowania profili,
wdrożyć reguły EDR wykrywające manipulacje hive’ami rejestru oraz próby lokalnej eskalacji uprawnień,
stosować zasadę najmniejszych uprawnień,
ograniczać logowanie kont administracyjnych do systemów o podwyższonym ryzyku.

W środowiskach, których nie można zaktualizować natychmiast, należy rozważyć środki kompensacyjne, takie jak zaostrzenie monitoringu, ograniczenie logowań uprzywilejowanych oraz czasowa separacja wrażliwych systemów od mniej zaufanych segmentów.

Podsumowanie

LegacyHive pokazuje, że pozornie lokalny problem w obsłudze profili użytkowników może prowadzić do pełnej eskalacji uprawnień w systemie Windows. Publiczne ujawnienie PoC zwiększyło presję na szybkie działania obronne, ale dopiero oficjalna poprawka Microsoftu zamyka najważniejszy etap reagowania.

Dla zespołów bezpieczeństwa kluczowe pozostaje jednak nie tylko instalowanie łatek, lecz także ograniczanie scenariuszy, w których zwykły użytkownik i administrator współdzielą ten sam host. To właśnie takie warunki najczęściej przesądzają o tym, czy lokalna podatność pozostanie incydentem technicznym, czy przerodzi się w pełnoskalowe naruszenie bezpieczeństwa.