Il 14 luglio 2026, giorno del Patch Tuesday di luglio, il ricercatore noto come Nightmare Eclipse ha divulgato pubblicamente una vulnerabilità zero-day nel Windows User Profile Service. La falla, battezzata LegacyHive, consente a un utente non privilegiato di montare l'hive di registro di qualsiasi altro utente — amministratore incluso — in modalità lettura/scrittura. Microsoft ha confermato di essere al corrente e di avere aperto un'indagine. Nel frattempo, ACROS Security ha già distribuito micropatch gratuiti tramite la piattaforma 0Patch.
- Nightmare Eclipse ha rilasciato il PoC "stripped down" il 14 luglio 2026, ma l'exploit originale era più potente: caricava qualsiasi hive senza credenziali aggiuntive.
- La tecnica sfrutta la modifica offline di NTUSER.dat, un symbolic link nell'Object Manager e una race condition nel caricamento profilo per montare UsrClass.dat altrui.
- Will Dormann e Kevin Beaumont hanno verificato l'exploit, che funziona su tutte le versioni Windows supportate anche con l'ultimo Patch Tuesday applicato.
- ACROS Security ha rilasciato micropatch gratuiti per Windows 10 2004+ e Windows Server 2022+, installabili senza riavvio.
Come funziona l'attacco: tre meccanismi in catena
Il nucleo tecnico di LegacyHive risiede nell'abuso della logica di caricamento profili Windows. Un utente non amministrativo modifica offline il file NTUSER.dat del proprio profilo per reindirizzare Local AppData. Successivamente, crea un symbolic link tramite l'Object Manager e sincronizza il caricamento del profilo per montare l'hive UsrClass.dat di un altro utente nel proprio namespace HKU\SID_Classes.
Il risultato è un accesso in lettura e scrittura ai dati e alle chiavi di registro altrui. Secondo Mitja Kolsek, CEO di ACROS Security, "the vulnerability allows a regular non-admin user to mount any other user's registry hive in full access mode". Will Dormann ha dimostrato la gravità concreta dell'impatto: "For example, as a novelty, we can associate .txt files to open with calc.exe". La modifica arbitraria del registro di un amministratore apre scenaggi di persistenza e manipolazione del sistema.
L'exploit funziona su tutte le versioni Windows desktop e server supportate, inclusi i sistemi con il Patch Tuesday di luglio 2026 installato. Nightmare Eclipse ha rilasciato una versione "stripped down" del PoC per impedirne facile weaponization, ma ha precisato che "any hive could be loaded using this vulnerability, but you would need some brain cells to make the PoC do it".
La disclosure aggressiva e il record del Patch Tuesday
Nightmare Eclipse ha divulgato 9 exploit Windows senza coordinated disclosure in tre mesi. Questo pattern, combinato con il record di 622 vulnerabilità patchate da Microsoft nel Patch Tuesday di luglio 2026 secondo The Hacker News, segnala una pressione crescente sul processo di vulnerability management di Redmond.
"After years of relative stability, the Patch Tuesday process has experienced significant turbulence so far in 2026" — Adam Barnett, Rapid7
Microsoft ha risposto con una dichiarazione ufficiale: "Microsoft is aware of the reported vulnerability and is actively investigating the validity and potential applicability of these claims". Allo stato attuale, non emerge alcuna patch ufficiale né una timeline di rilascio. La disputa tra il ricercatore e Microsoft, citata da The Hacker News, potrebbe influenzare la prioritizzazione della correzione, ma il dossier non documenta conseguenze concrete sui tempi.
La micropatch di 0Patch: come opera e chi la copre
ACROS Security ha rilasciato micropatch gratuiti tramite la piattaforma 0Patch per Windows 10 versione 2004 e successive, oltre a Windows Server 2022 e versioni più recenti. I sistemi precedenti non sono interessati dalla vulnerabilità. L'installazione non richiede riavvio.
Il meccanismo di mitigazione è specifico: con 0Patch attivo, l'exploit continua a essere eseguibile ma carica un profilo temporaneo invece di quello dell'utente amministratore bersagliato. Come ha spiegato Mitja Kolsek, "with 0patch enabled, the exploit still seems to work, but it loads a temporary user profile hive instead of that from adminuser". Questo approccio non chiude la falla ma neutralizza l'impatto privilegiato.
Kevin Beaumont ha confermato la funzionalità dell'exploit e ha pubblicato query di rilevamento per Microsoft Defender for Endpoint, fornendo alle organizzazioni uno strumento di monitoraggio complementare alla mitigazione di ACROS.
Cosa fare adesso
- Valutare l'installazione delle micropatch 0Patch sui sistemi Windows 10 2004+ e Windows Server 2022+ esposti a scenari multi-utente con utenti non privilegiati.
- Implementare le query di rilevamento di Kevin Beaumont su Microsoft Defender for Endpoint per identificare tentativi di exploit.
- Monitorare le comunicazioni ufficiali Microsoft per l'eventuale rilascio di patch ufficiale e CVE assegnato.
- Ristrettare i permessi di accesso ai profili utente dove possibile, limitando la superficie di modifica offline dei file hive.
Il dilemma della supply chain di sicurezza
La disponibilità di micropatch non ufficiali prima della risposta del vendor crea un problema di gestione del rischio poco esplorato. Le organizzazioni devono scegliere tra l'attesa di una correzione ufficiale — con l'esposizione documentata — e l'adozione di una soluzione terza che altera il comportamento del sistema operativo senza il responso di Microsoft. La decisione non è banale: i micropatch di 0Patch sono stati verificati da ricercatori indipendenti come Dormann e Beaumont, ma non consta di audit formali di terze parti sulle specifiche build distribuite.
Il caso LegacyHive evidenzia una tensione strutturale. Quando un vendor di sicurezza diventa più reattivo del produttore del software, la linea di responsabilità si sposta. Il Patch Tuesday di luglio 2026, con il suo record di 622 flaw, mostra comunque che Microsoft sta fronteggiando un volume eccezionale. La domanda è se questo volume stia erodendo la capacità di risposta alle zero-day più gravi.
Fonti
- https://www.tecnoandroid.it/news/legacyhive-la-falla-zero-day-di-windows-ha-gia-le-micropatch-1938592/
- https://thehackernews.com/2026/07/researcher-drops-new-windows-zero-day.html
- https://www.bleepingcomputer.com/news/security/windows-legacyhive-zero-day-flaw-gets-free-unofficial-patches/
- https://www.cve.org/CVERecord?id=CVE-2026-32201
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.