Nelle ore successive al Patch Tuesday di Microsoft di luglio 2026 è stata resa pubblica una nuova prova di concetto di zero day Windows chiamata LegacyHive. Il focus è una vulnerabilità di elevazione dei privilegi legata al servizio User Profile Service di Windows, noto anche come ProfSvc, un componente di sistema che gestisce profili utente e ambiente di accesso.
In pratica il difetto consente il caricamento arbitrario di un hive del registro, aprendo la strada a un possibile salto di privilegi se sfruttato correttamente.
LegacyHive è stato descritto come un exploit di tipo arbitrary hive load con impatto sulla sicurezza Windows sia in ambito desktop sia server. Un elemento rilevante per chi si occupa di hardening e gestione patch è che la prova di concetto risulta funzionante anche su sistemi aggiornati con le patch di luglio 2026, quindi dopo l’ultimo ciclo di aggiornamenti di sicurezza. Questo dettaglio alimenta l’interesse verso la vulnerabilità, perché suggerisce che non sia stata mitigata dalle correzioni standard distribuite nel mese.
La versione pubblica della PoC è stata deliberatamente ridotta per limitare la possibilità di abuso. Per l’esecuzione vengono richieste credenziali aggiuntive di un altro utente standard e un terzo nome utente che può appartenere anche a un account amministratore. Se lo sfruttamento va a buon fine la tecnica termina con il montaggio dell’hive del profilo bersaglio nella sezione classes root dell’utente corrente, un comportamento che può diventare un trampolino per ulteriori azioni post exploitation. In origine la tecnica non richiedeva credenziali extra e non era vincolata al file usrclass.dat, indicando che il potenziale teorico potrebbe essere più ampio rispetto a quanto mostrato pubblicamente.
Il contesto generale evidenzia un 2026 turbolento per la gestione delle vulnerabilità, con un numero record di falle corrette e con segnalazioni di exploit attivi su prodotti enterprise. In parallelo le autorità di cybersecurity hanno richiamato l’attenzione su vulnerabilità note e sfruttate in ambienti on premises, sottolineando l’importanza di applicare rapidamente le patch, monitorare indicatori di compromissione e rafforzare la superficie esposta, soprattutto per server accessibili da Internet.