Cette vulnérabilité a été rendue publique par le chercheur Nightmare Eclipse, peu après la publication par Microsoft de ses mises à jour « Patch Tuesday » pour juillet 2026. Selon le chercheur, la faille se trouve dans le service « Windows User Profile Service » et n’a pour l’instant pas encore reçu de numéro CVE officiel.
L’exploit nécessite des identifiants supplémentaires
Le chercheur a publié ce qu’on appelle une « preuve de concept » (PoC), qui démontre le fonctionnement de cette vulnérabilité. Contrairement aux exploits précédents publiés par Nightmare Eclipse, cette version est volontairement limitée. Ainsi, des données utilisateur supplémentaires sont nécessaires avant de pouvoir lancer l’attaque.
Selon le chercheur, outre l’accès à un compte standard, un pirate a également besoin des informations d’un deuxième utilisateur. Il peut s’agir, par exemple, d’un compte administrateur. Si l’attaque aboutit, le pirate peut associer un fichier de registre utilisateur à une composante de Windows dans laquelle sont stockés les paramètres des programmes.
Le chercheur en sécurité Will Dormann a testé cette faille et prévient que les conséquences pourraient tout de même être graves. Un utilisateur lambda pourrait, par exemple, apporter des modifications qui feraient en sorte que certains fichiers s’ouvrent automatiquement avec un autre programme dès qu’un administrateur se connecte.
Bien que l’exemple actuel semble relativement anodin, cette même technique pourrait, selon les experts, être adaptée à des actions plus dangereuses. Les pirates pourraient ainsi exécuter du code malveillant sans qu’un administrateur n’en donne sciemment l’autorisation.
Microsoft n’a pas encore publié de solution
Peu après la publication du PoC, des règles de détection destinées aux équipes de sécurité ont également été publiées. Le chercheur Kevin Beaumont a partagé des requêtes pour Microsoft Defender for Endpoint permettant aux entreprises de détecter d’éventuelles attaques via LegacyHive.
Microsoft n’a pour l’instant pas corrigé cette faille et n’a pas non plus publié de communiqué officiel. Ces derniers mois, l’entreprise a été confrontée à plusieurs reprises à des failles de Windows rendues publiques par Nightmare Eclipse, notamment des problèmes liés à Microsoft Defender, BitLocker et d’autres composants de Windows.
Certaines failles antérieures ont entre-temps été corrigées grâce aux mises à jour de sécurité de juin et juillet 2026. En ce qui concerne LegacyHive, les utilisateurs doivent pour l’instant rester particulièrement vigilants face aux comptes suspects, aux activités inhabituelles et aux logiciels inconnus exécutés sur leurs systèmes.
Étant donné que le PoC actuel nécessite des identifiants d’accès supplémentaires, le risque d’abus à grande échelle semble pour l’instant limité. Néanmoins, une faille « zero-day » pouvant entraîner une élévation de privilèges reste un sujet de préoccupation, car les pirates continuent souvent à développer ce type de techniques une fois que les détails ont été rendus publics.
