Nightmare Eclipse, un investigador de seguridad conocido por revelar vulnerabilidades zero-day en productos de Microsoft, ha publicado un nuevo exploit llamado LegacyHive. Esta vulnerabilidad afecta al servicio User Profile de Windows y permite a un atacante escalar privilegios locales cargando hives de otros usuarios, incluidos administradores.
Por qué importa: LegacyHive representa un riesgo crítico porque permite a usuarios estándar acceder a datos y configuraciones de cuentas con mayores privilegios, incluso en sistemas con los parches de julio de 2026 instalados.
Lo esencial
LegacyHive es un exploit local de escalada de privilegios en el servicio User Profile de Windows.
Funciona en sistemas con los parches de seguridad de Microsoft de julio de 2026 aplicados.
El código de prueba de concepto fue publicado con limitaciones para evitar su explotación inmediata.
Imagen de referencia: SecurityWeek.
Detalles técnicos del exploit LegacyHive
El exploit aprovecha una falla en cómo Windows maneja las hives de usuario, específicamente la carga de archivos usrclass.dat. LegacyHive permite montar la hive de otro usuario en la raíz de clases del usuario actual, lo que puede incluir cuentas administrativas. Para ejecutarlo, se requieren credenciales de un usuario estándar y un tercer nombre de usuario, que puede ser administrador.
Originalmente, el exploit no necesitaba credenciales y podía cargar cualquier hive, pero el investigador decidió limitar el código para evitar ataques inmediatos. Esto indica que la vulnerabilidad es más grave de lo que muestra el PoC actual.
Contexto y antecedentes de Nightmare Eclipse
Nightmare Eclipse, también conocido como Chaotic Eclipse, ha publicado más de seis zero-days en productos Microsoft, incluyendo BlueHammer, RedSun y UnDefend. Algunos de estos exploits han sido usados en ataques reales. LegacyHive se suma a esta lista y aún no ha sido reconocido oficialmente por Microsoft.
La publicación coincide con el Patch Tuesday de julio de 2026, pero Microsoft no ha emitido una respuesta pública ni un parche para esta vulnerabilidad.
Impacto para usuarios y organizaciones
LegacyHive pone en riesgo la seguridad de sistemas Windows actualizados, ya que permite a usuarios con permisos limitados obtener acceso a configuraciones y datos de cuentas con mayores privilegios. Esto puede facilitar movimientos laterales y escaladas dentro de redes corporativas.
Por ahora, no se reportan ataques en estado salvaje que usen LegacyHive, pero la disponibilidad del PoC aumenta la urgencia de una solución oficial.
Preguntas frecuentes sobre LegacyHive
¿Qué versiones de Windows son vulnerables a LegacyHive?
El exploit afecta a sistemas con los parches de seguridad de Microsoft correspondientes a julio de 2026, lo que indica que versiones recientes de Windows están comprometidas.
¿Microsoft ha respondido a la vulnerabilidad?
Hasta el momento de la publicación, Microsoft no ha emitido comentarios ni parches específicos para LegacyHive.
