Nightmare Eclipse, noto anche come Chaotic Eclipse, ha rilasciato il 14 luglio 2026 — ore dopo il Patch Tuesday di Microsoft — un exploit zero-day denominato LegacyHive che consente l'escalation di privilegi locali su tutte le versioni supportate di Windows 10, Windows 11 e Windows Server, inclusi i sistemi aggiornati con le patch di luglio. Il ricercatore ha intenzionalmente limitato il Proof-of-Concept pubblico, che ora richiede credenziali di un secondo utente standard, ma ha dichiarato che la versione originale non aveva questo vincolo e poteva caricare hive arbitrari senza restrizioni.
- Il PoC LegacyHive funziona su sistemi Windows fully patched al luglio 2026 Patch Tuesday, sfruttando una vulnerabilità nel Windows User Profile Service (ProfSvc).
- Il meccanismo tecnico combina Object Manager symbolic link redirection (NtCreateSymbolicLinkObject/NtCreateDirectoryObjectEx) con opportunistic lock (oplock) per deviare il caricamento dell'UsrClass.dat di un altro utente.
- La versione pubblica del PoC richiede credenziali di un utente standard aggiuntivo e un username target; la versione originale non richiedeva credenziali supplementari e non era limitata all'hive UsrClass.dat.
- Nightmare Eclipse ha rilasciato 9 exploit Windows senza coordinated disclosure in 3 mesi, costruendo un pattern di disclosure aggressiva che sfida i cicli mensili di patch Microsoft.
Il meccanismo: come si dirotta il caricamento di un hive di registro
La vulnerabilità risiede nel Windows User Profile Service (ProfSvc), il componente di sistema responsabile del caricamento dei profili utente durante il logon. Il servizio carica l'hive HKEY_USERS\
Il primo elemento è la modifica offline di un registry hive. L'attaccante prepara un file hive modificato che verrà caricato al posto di quello legittimo. Il secondo è l'Object Manager symbolic link redirection: tramite le API NtCreateSymbolicLinkObject e NtCreateDirectoryObjectEx, l'exploit crea un collegamento simbolico nel namespace dell'Object Manager di Windows che redireziona il percorso di caricamento previsto dal ProfSvc verso una destinazione controllata dall'attaccante. Il terzo meccanismo è la sincronizzazione tramite opportunistic lock (oplock), una primitiva del file system Windows che consente a un processo di ricevere notifiche quando un altro processo tenta di accedere a un file. L'oplock permette all'attaccante di temporizzare con precisione la sostituzione del percorso nel momento esatto in cui il ProfSvc apre l'hive.
Il risultato è la cross-user hive redirection: un utente non privilegiato monta l'UsrClass.dat di un altro utente — incluso un amministratore — nel proprio namespace HKU\
"For example, as a novelty, we can associate .txt files to open with calc.exe. Clever attackers or people who want to accomplish something will easily be able to figure out how to do things that are more interesting and/or don't even require user interaction."
— Will Dormann, principal vulnerability analyst, Tharros
Il PoC "stripped down": tattica di disclosure sotto pressione
Nightmare Eclipse ha rilasciato una versione deliberatamente limitata del suo exploit. Secondo la dichiarazione del ricercatore riportata da BleepingComputer, "the PoC was stripped down as an attempt to prevent public exploitation, the original PoC did not require additional user credential and was not limited to usrclass.dat hive, any hive could be loaded using this vulnerability". Questa scelta introduce un nuovo pattern nella relazione conflittuale tra il ricercatore e Microsoft.
Il ricercatore ha specificato che il PoC pubblico "requires another standard user credentials and a third username (which can be an administrator account), if the PoC is successful, it will end up mounting the target user hive in current user classes root". Il requisito di credenziali secondarie riduce l'exploitabilità opportunistica — non consente escalation da un singolo account compromesso — ma non neutralizza il rischio in ambienti multi-utente come terminal server, RDS o workstation condivise dove un attaccante dispone già di accesso a più account.
Il limite artificiale del PoC solleva questioni sulla funzione della responsible disclosure quando il ricercatore non riconosce alcun obbligo coordinato. In tre mesi, Nightmare Eclipse ha pubblicato 9 exploit Windows senza coordinated disclosure: BlueHammer, UnDefend, RedSun, RoguePlanet, YellowKey, GreatXML, GreenPlasma, MiniPlasma e ora LegacyHive. Il numero di vulnerabilità patchate da Microsoft nello stesso Patch Tuesday di luglio 2026 ha raggiunto un record mensile, ma il dossier non stabilisce un nesso causale diretto tra i rilasci del ricercatore e il volume di patch.
Conferme indipendenti e detection disponibili
La comunità di sicurezza ha verificato autonomamente il funzionamento dell'exploit. Kevin Beaumont, noto per le sue analisi su Windows security, ha confermato che "the LegacyHive exploit works" e ha pubblicato detection queries per Microsoft Defender for Endpoint. ThreatLocker ha confermato che il PoC monta l'UsrClass.dat di un target con read access in un altro account utente. Cyderes Howler Cell ha descritto la tecnica come abuse del profile loading logic che causa il caricamento di un UsrClass.dat non intenzionale nel namespace HKU\
Rescana ha fornito un deep-dive tecnico che include indicatori di compromissione: chiamate API anomale a NtCreateSymbolicLinkObject e NtCreateDirectoryObjectEx, presenza di file hive in percorsi non standard, e pattern di accesso oplock su file .dat in directory di profilo. La fonte non specifica se questi IoC siano sufficienti a rilevare la versione originale non rilasciata del PoC.
Matei Badanoiu, lead security researcher presso Pentest-Tools.com, ha riassunto la tecnica come "local privilege escalation in the Windows User Profile Service. It abuses arbitrary registry hive loading, so a standard user can mount another user's hive, including an administrator's, into their own classes root". Dray Agha di Huntress ha contribuito all'analisi critica del PoC, sebbene il dossier non riporti una dichiarazione specifica di questa fonte sul funzionamento tecnico.
Perché è importante
Microsoft è a conoscenza della vulnerabilità e sta investigando. Un portavoce ha dichiarato a BleepingComputer: "Microsoft is aware of the reported vulnerability and is actively investigating the validity and potential applicability of these claims". Al momento della pubblicazione, nessuna patch è disponibile e non risulta assegnato un CVE ID alla vulnerabilità LegacyHive.
Il dossier non specifica se Microsoft abbia comunicato una timeline per il rilascio di una correzione. Non emerge evidence di exploitation in-the-wild. L'identità reale di Nightmare Eclipse rimane non verificata: circola l'ipotesi non confermata di un ex-ingegnere Microsoft, ma il dossier non documenta prove a supporto di questa attribuzione.
Il brief non elenca misure correttive specifiche né raccomandazioni operative dettagliate da parte del vendor. La fonte non specifica la natura completa dei dati esposti oltre al read access all'hive target. Il dossier non documenta se la versione originale del PoC consentisse modifiche write al hive dirottato o solo lettura.
Il paradosso del Patch Tuesday serializzato
Il rilascio di LegacyHive ore dopo un Patch Tuesday record — 622 vulnerabilità corrette da Microsoft nello stesso ciclo mensile — evidenzia una dinamica strutturale: il ricercatore ha appreso a massimizzare l'esposizione temporale sfruttando il ritardo intrinseco ai cicli di patch mensili. Ogni rilascio in questo finestra genera circa 30 giorni di vulnerabilità non coperta, indipendentemente dal volume di correzioni simultanee. Il pattern dei 9 zero-day in tre mesi suggerisce una sistematicità che trascende la singola scoperta.
La scelta del PoC "stripped" può leggersi in due direzioni: come forma di autolimitazione responsabile in assenza di canali di disclosure funzionanti, o come pressione negoziale per accelerare la risposta vendor. Il dossier non documenta quale delle due letture sia corretta, né se esistano contatti diretti tra il ricercatore e Microsoft. Ciò che resta documentato è la convergenza di un meccanismo tecnico verificato, una disclosure serializzata e un ecosistema di difesa che deve ora monitorare proattivamente per una vulnerabilità senza identificatore CVE né patch disponibile.
Domande frequenti
LegacyHive consente remote code execution?
No. La vulnerabilità è una local privilege escalation: richiede accesso interattivo locale al sistema e, per la versione pubblica del PoC, credenziali di un secondo utente standard.
Perché il PoC richiede credenziali di un altro utente?
Nightmare Eclipse ha intenzionalmente limitato la versione pubblica per "prevent public exploitation". La versione originale, non rilasciata, non richiedeva credenziali aggiuntive e poteva caricare hive arbitrari.
Esiste una patch o un CVE per LegacyHive?
Al momento della disclosure, nessun CVE ID risulta assegnato alla vulnerabilità LegacyHive. Microsoft sta investigando e non ha rilasciato patch.
Fonti
- https://www.bleepingcomputer.com/news/security/new-windows-legacyhive-zero-day-exploit-grants-hackers-admin-access/
- https://thehackernews.com/2026/07/researcher-drops-new-windows-zero-day.html
- https://www.rescana.com/post/critical-windows-10-11-and-server-zero-day-legacyhive-exploit-enables-privilege-escalation-via-user-profile-service-vuln
- https://www.theregister.com/security/2026/07/15/microsofts-serial-tormentor-drops-legacyhive-0-day/5271723
- https://www.cve.org/CVERecord?id=CVE-2026-32201
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.