Se ha descubierto una vulnerabilidad de día cero en Windows llamada "LegacyHive", que permite a usuarios sin privilegios obtener acceso de administrador. Aunque Microsoft ya está investigando el problema, aún no ha lanzado una actualización oficial. Mientras tanto, la empresa ACROS Security ofrece parches no oficiales gratuitos para proteger los sistemas afectados.

Están disponibles parches gratuitos no oficiales para una vulnerabilidad de día cero de Windows recientemente revelada que permite a los atacantes escalar privilegios en sistemas Windows actualizados.

La vulnerabilidad (denominada LegacyHive y sin un ID de CVE para un seguimiento sencillo) fue encontrada por un investigador de seguridad que utiliza el alias "Nightmare Eclipse" en el Servicio de Perfiles de Usuario de Windows.

Nightmare Eclipse la reveló el día que Microsoft lanzó sus actualizaciones del Patch Tuesday de julio de 2026, junto con un exploit de prueba de concepto (PoC) simplificado, diseñado para dificultar que los actores de amenazas conviertan este problema de seguridad en ataques.

Tras analizar el PoC, Will Dormann, analista principal de vulnerabilidades de Tharros, afirmó que los usuarios que no son administradores pueden explotar LegacyHive para modificar la colmena del registro de clases y lograr la ejecución automática de código cuando la cuenta de administrador inicia sesión en un dispositivo comprometido.

El experto en ciberseguridad Kevin Beaumont también confirmó que el exploit funciona un día después de que se publicara el PoC y publicó consultas de detección de explotación de LegacyHive para Microsoft Defender for Endpoint.

"Microsoft es consciente de la vulnerabilidad reportada y está investigando activamente la validez y la aplicabilidad potencial de estas afirmaciones", dijo un portavoz de Microsoft cuando se le pidió una declaración sobre el exploit LegacyHive.

"Microsoft se compromete a investigar los problemas de seguridad y a actualizar los productos afectados para proteger a los clientes lo antes posible".

Parches gratuitos no oficiales disponibles

Mientras que Microsoft aún no ha asignado un ID de CVE ni ha lanzado actualizaciones de seguridad para solucionar la vulnerabilidad LegacyHive, ya existen parches no oficiales disponibles de ACROS Security, la empresa detrás de la plataforma de ciberseguridad 0Patch.

"La vulnerabilidad permite que un usuario normal que no es administrador monte la colmena del registro de cualquier otro usuario en modo de acceso total, y luego extraiga los secretos almacenados de ese usuario o modifique cualquier valor en su registro para afectar lo que se ejecuta la próxima vez que inicien sesión", explica Mitja Kolsek, CEO de ACROS Security.

"Con 0patch habilitado, el exploit parece seguir funcionando, pero carga una colmena de perfil de usuario temporal en lugar de la del usuario administrador. Cargar una colmena de perfil de usuario temporal no es útil para el atacante".

Dado que el fallo de seguridad no afecta a los sistemas que ejecutan versiones de Windows anteriores a Windows 10 2004 y Windows Server 2019, ACROS Security proporciona microparches (pequeños parches que inyectan instrucciones de código para reemplazar la sección vulnerable del código) para Windows 10 2004 o posterior y Windows Server 2022 o posterior.

Para instalar el microparche gratuito en sus sistemas Windows, regístrese en una cuenta de 0patch e instale el agente 0Patch. Si no hay políticas de parcheo personalizadas que lo bloqueen, se implementará automáticamente sin requerir un reinicio del sistema tras iniciar el agente.

Nightmare Eclipse ha revelado exploits de día cero para vulnerabilidades en Microsoft Defender, BitLocker y varios componentes de Windows en los últimos meses, incluyendo UnDefend.

Microsoft solucionó los fallos de YellowKey, GreenPlasma y MiniPlasma el mes pasado como parte de las actualizaciones del Patch Tuesday de junio de 2026 y la vulnerabilidad RoguePlanet en las actualizaciones de seguridad de julio. Sin embargo, los otros problemas de seguridad revelados por Nightmare Eclipse aún están esperando un parche.

Fuente:
BleepingComputer