Badacz bezpieczeństwa Chaotic Eclipse, znany również jako Nightmare-Eclipse, opublikował nowy exploit typu proof-of-concept o nazwie LegacyHive.
PoC celuje w Usługę profili użytkowników systemu Windows (Windows User Profile Service), znaną także jako ProfSvc, i został opisany jako problem eskalacji uprawnień polegający na dowolnym załadowaniu gałęzi rejestru. ProfSvc to podstawowy komponent Windows odpowiedzialny za zarządzanie profilami użytkowników i środowiskami użytkowników.
Publikacja jest istotna, ponieważ z doniesień wynika, że technika nadal działa na obsługiwanych wersjach Windows dla komputerów stacjonarnych i serwerów, w tym na systemach z najnowszymi aktualizacjami z lipcowego Patch Tuesday 2026.
Co robi LegacyHive
Ogólnie rzecz biorąc, LegacyHive nadużywa sposobu, w jaki Windows obsługuje gałęzie rejestru użytkowników.
Gałąź rejestru Windows zawiera konfigurację specyficzną dla użytkownika, ustawienia aplikacji i dane środowiska. Jeśli atakujący może zamontować lub zmanipulować gałąź innego użytkownika, może uzyskać przydatny prymityw po przejęciu systemu, służący do eskalacji uprawnień, utrwalenia obecności lub nadużywania ustawień specyficznych dla użytkownika.
Publiczny PoC wydaje się celowo ograniczony. Doniesienia wskazują, że wymaga dodatkowych poświadczeń użytkownika i jest ograniczony do węższego scenariusza ładowania gałęzi niż oryginalny exploit opisany przez badacza.
To ograniczenie ma znaczenie.
Nie jest to przedstawiane jako proste przejęcie całego systemu jednym kliknięciem. Nadal jednak daje atakującym potencjalnie potężny element składowy, jeśli mają już przyczółek na maszynie z Windows.
Dlaczego to ważne
LegacyHive jest ważny, ponieważ lokalne luki umożliwiające eskalację uprawnień często stają się częścią większych łańcuchów ataku.
Atakujący rzadko polegają na jednym błędzie. Mogą najpierw uzyskać dostęp przez phishing, skradzione poświadczenia, wyeksponowane usługi lub malware. Następnie szukają sposobów na rozszerzenie kontroli, dotarcie do cenniejszych danych, utrwalenie obecności po restartach lub ruch boczny.
Prymityw eskalacji uprawnień w Windows może pomóc w tym drugim etapie.
Nawet jeśli publiczny PoC jest okrojony, leżąca u podstaw luka może nadal interesować atakujących, którzy potrafią ją zaadaptować lub połączyć z innymi technikami.
Komentarz badacza bezpieczeństwa cytowany przez The Hacker News sugeruje, że prymityw mógłby pozwalać użytkownikowi bez uprawnień administratora na modyfikację gałęzi rejestru klas innego użytkownika, w tym gałęzi użytkownika-administratora.
Napięty schemat ujawniania luk
Publikacja LegacyHive następuje po szerszym sporze między badaczem a Microsoft.
Chaotic Eclipse opublikował szczegóły wielu exploitów, zanim Microsoft zdążył wydać poprawki, powołując się na problemy z komunikacją. Wcześniejsze ujawnienia dotyczące Microsoft Defender podobno przeszły w aktywną eksploatację wkrótce po publikacji.
Microsoft przekazał The Hacker News, że bada nowe zgłoszenie luki i zadeklarował, że pozostaje zaangażowany w skoordynowane ujawnianie podatności oraz aktualizowanie dotkniętych produktów w celu ochrony klientów.
Uwydatnia to trudny problem dla społeczności bezpieczeństwa: publiczne ujawnienie może zwiększyć świadomość obronną, ale może też dać atakującym nowe pomysły, zanim pojawią się łatki lub środki zaradcze.
Luki w SharePoint zwiększają presję
Publikacja LegacyHive nastąpiła w trakcie i tak już intensywnego cyklu bezpieczeństwa Microsoft.
Lipcowy Patch Tuesday 2026 podobno objął rekordową liczbę podatności, w tym aktywnie wykorzystywane luki w SharePoint Server i Active Directory Federation Services. Rapid7 poinformował, że Microsoft opublikował 622 podatności w lipcowym Patch Tuesday 2026.
Jedną z najważniejszych luk w SharePoint jest CVE-2026-56164, podatność polegająca na braku uwierzytelniania w Microsoft Office SharePoint, która może pozwolić nieuprawnionemu atakującemu na eskalację uprawnień przez sieć. NVD umieszcza ją w katalogu znanych wykorzystywanych podatności (KEV) CISA, z wymaganym terminem działania dla federalnych agencji cywilnych.
CISA ostrzegła też przed aktywnym wykorzystywaniem wielu podatności w SharePoint Server, w tym CVE-2026-32201, CVE-2026-45659 i CVE-2026-56164, dotyczących obsługiwanych lokalnych (on-premises) wersji SharePoint Server.
Krytyczne obejście uwierzytelniania w SharePoint
Kolejną poważną luką załataną w lipcowej aktualizacji jest CVE-2026-55040, podatność umożliwiająca obejście uwierzytelniania w SharePoint Server.
Rapid7 opisał ją jako problem obejścia uwierzytelniania tokenem JWT i podał, że była częścią projektu badawczego dotyczącego luk zero-day, który wykrył dwie podatności możliwe do połączenia w łańcuch w celu zdalnego wykonania kodu bez uwierzytelniania na podatnych serwerach SharePoint.
Dla obrońców ma to znaczenie, ponieważ serwery SharePoint są często cennymi celami.
Mogą zawierać wrażliwe dokumenty, wewnętrzne procesy, materiały uwierzytelniające i dane integracyjne. Serwery SharePoint dostępne z Internetu są szczególnie narażone, gdy zawodzą mechanizmy uwierzytelniania lub kontrole po uwierzytelnieniu.
Co powinni zrobić obrońcy
Organizacje powinny traktować to jako ryzyko dwutorowe.
W przypadku stacji i serwerów z Windows obrońcy powinni:
- monitorować nietypową aktywność dotyczącą gałęzi rejestru
- przeglądać podejrzane zachowania związane z ProfSvc
- ograniczać ekspozycję lokalnych administratorów
- monitorować próby lokalnej eskalacji uprawnień
- nadać priorytet telemetrii EDR dotyczącej manipulacji rejestrem i profilami
- stosować aktualizacje Microsoft, gdy tylko będą dostępne
- ograniczać dostęp zwykłych użytkowników na systemach o wysokiej wartości
W przypadku środowisk SharePoint obrońcy powinni:
- pilnie zastosować aktualizacje SharePoint z lipca 2026
- nadać priorytet serwerom SharePoint dostępnym z Internetu
- zapoznać się z wytycznymi CISA KEV
- sprawdzić ślady wykorzystania luk
- zmienić wyeksponowane sekrety, jeśli podejrzewa się przejęcie
- przeanalizować logi IIS i logi SharePoint
- monitorować mechanizmy utrwalania obecności
- ocenić ryzyko ujawnienia kluczy maszyny (machine key)
Strona SharePoint jest szczególnie pilna, ponieważ CISA potwierdziła aktywne wykorzystywanie wielu luk.
Dlaczego zarządzanie poprawkami staje się trudniejsze
Ten incydent odzwierciedla też szerszy problem.
Patch Tuesday nie jest już tylko przewidywalnym miesięcznym oknem konserwacyjnym. W 2026 roku Microsoft mierzy się z dużymi wolumenami podatności, publicznym ujawnianiem luk zero-day, aktywną eksploatacją i coraz szybszymi cyklami badań nad podatnościami.
Oznacza to, że organizacje potrzebują szybszej selekcji (triage).
Nie każda podatność jest równie pilna. Jednak aktywnie wykorzystywane błędy, publiczne PoC, obejścia uwierzytelniania, problemy z eskalacją uprawnień i luki w serwerach dostępnych z Internetu powinny trafić na początek kolejki.
Zespoły bezpieczeństwa powinny skupić się na ekspozycji, możliwości wykorzystania, wpływie na biznes i zainteresowaniu atakujących.
Podsumowanie
LegacyHive to nie jest kolejna zwykła publikacja PoC.
To przypomnienie, że lokalna eskalacja uprawnień w Windows pozostaje cenna dla atakujących, zwłaszcza po uzyskaniu przez nich początkowego przyczółka.
Jednocześnie luki w SharePoint pokazują presję, jaką na obrońców wywiera infrastruktura korporacyjna dostępna z Internetu.
Łataj szybko, ale monitoruj też zachowanie. Aktualizacje zmniejszają ryzyko, ale publiczne PoC i aktywna eksploatacja oznaczają, że obrońcy potrzebują także wykrywania, logowania, utwardzania i gotowości do reagowania na incydenty.
W dzisiejszych warunkach czekanie na kolejny cykl poprawek już nie wystarcza.
