Sono disponibili gratuitamente delle patch non ufficiali per una vulnerabilità zero-day di Windows che, se sfruttata, permette a un aggressore di ottenere privilegi elevati anche su sistemi perfettamente aggiornati. Il problema, ribattezzato LegacyHive, riguarda il servizio Windows User Profile Service e al momento non ha ancora un codice CVE ufficiale che ne semplifichi il tracciamento.
A scoprire la falla è stato un ricercatore di sicurezza che si firma con lo pseudonimo “Nightmare Eclipse”. La divulgazione è arrivata lo stesso giorno in cui Microsoft ha pubblicato gli aggiornamenti del Patch Tuesday di luglio 2026, accompagnata da un exploit proof-of-concept volutamente incompleto, pensato per rendere più difficile ai malintenzionati trasformarlo in un’arma vera e propria.
Come funziona la falla e chi rischia
Dopo aver analizzato il codice dimostrativo, Will Dormann, analista principale delle vulnerabilità presso Tharros, ha spiegato che un utente senza privilegi da amministratore può sfruttare LegacyHive per modificare il registro delle classi e ottenere l’esecuzione automatica di codice nel momento in cui l’account amministratore accede a un dispositivo compromesso. In pratica basta un po’ di pazienza e il gioco è fatto.
Anche Kevin Beaumont, esperto di cybersicurezza molto seguito nel settore, ha confermato che l’exploit funziona davvero, appena un giorno dopo il rilascio del proof-of-concept. Beaumont ha inoltre pubblicato alcune query di rilevamento pensate per Microsoft Defender for Endpoint, così da individuare eventuali tentativi di sfruttamento della falla.
Dal canto suo Microsoft ha fatto sapere di essere al corrente della segnalazione e di stare valutando con attenzione la validità e la reale portata di quanto riportato. L’azienda ha ribadito l’impegno a indagare sui problemi di sicurezza e ad aggiornare i prodotti coinvolti il prima possibile, per proteggere gli utenti.
Le micropatch gratuite di 0Patch
In attesa che Microsoft assegni un codice CVE e pubblichi gli aggiornamenti ufficiali, chi vuole mettersi al riparo può già contare sulle patch non ufficiali distribuite da ACROS Security, l’azienda dietro la piattaforma 0Patch. Una soluzione ponte, insomma, per chi non se la sente di aspettare.
Mitja Kolsek, amministratore delegato di ACROS Security, ha spiegato che la vulnerabilità consente a un normale utente non amministratore di montare in modalità di accesso completo il registro di qualsiasi altro utente. A quel punto diventa possibile estrarre i segreti memorizzati oppure modificare i valori del registro per cambiare ciò che viene eseguito al successivo accesso. Con 0Patch attivo, ha aggiunto Kolsek, l’exploit sembra ancora funzionare ma carica un profilo utente temporaneo al posto di quello dell’amministratore, rendendolo di fatto inutile per chi attacca.
La falla non tocca le versioni di Windows precedenti a Windows 10 2004 e Windows Server 2019. Per questo motivo ACROS Security fornisce le sue micropatch, piccoli interventi di codice che sostituiscono la porzione vulnerabile, per Windows 10 2004 o successivo e per Windows Server 2022 o successivo. Per installarle basta registrare un account 0Patch e installare l’agente. Se non ci sono regole personalizzate che lo bloccano, la distribuzione avviene in automatico e senza bisogno di riavviare il sistema.
Nome dopo nome, Nightmare Eclipse si sta costruendo una reputazione. Negli ultimi mesi ha divulgato exploit zero-day per vulnerabilità in Microsoft Defender, BitLocker e vari componenti di Windows, tra cui quelle battezzate RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. Microsoft ha corretto YellowKey, GreenPlasma e MiniPlasma con gli aggiornamenti del Patch Tuesday di giugno 2026 e RoguePlanet con quelli di luglio. Gli altri problemi segnalati dal ricercatore, invece, aspettano ancora una patch.