Una vulnerabilità zero-day denominata LegacyHive interessa il Windows User Profile Service e può consentire a un utente locale non amministratore di montare con permessi di lettura e scrittura l’hive di registro appartenente a un altro profilo, compreso un account amministrativo.
Alla data del 21 luglio 2026, la vulnerabilità non dispone ancora di un identificativo CVE e Microsoft non ha pubblicato una correzione ufficiale. ACROS Security ha però già rilasciato una micropatch gratuita tramite 0patch, applicabile come controllo compensativo durante il periodo che precede l’aggiornamento del produttore.
Punto chiave
LegacyHive non costituisce un accesso remoto autonomo al sistema. Diventa rilevante dopo una prima compromissione, quando l’attaccante dispone già di esecuzione locale con privilegi limitati e cerca di ottenere accesso a dati o contesti amministrativi.
Che cos'è LegacyHive
LegacyHive è una vulnerabilità di Local Privilege Escalation individuata nel servizio Windows User Profile Service. Il problema emerge nel processo utilizzato da Windows per caricare gli hive di registro associati ai profili utente quando un processo viene eseguito con credenziali differenti.
L’hive del profilo contiene configurazioni e informazioni utilizzate dalle applicazioni e dalla sessione dell’utente, tra cui le aree equivalenti a HKEY_CURRENT_USER e HKEY_CLASSES_ROOT. Se un attaccante riesce a montare l’hive di un altro profilo nel proprio spazio di registro con accesso completo, può leggerne i contenuti o modificarne i valori.
L’impatto potenziale include:
- accesso a segreti, token, chiavi e configurazioni memorizzate nel profilo bersaglio;
- modifica delle associazioni di file, dei riferimenti a DLL o dei percorsi verso eseguibili considerati attendibili;
- predisposizione dell’esecuzione di codice al successivo accesso dell’utente amministrativo;
- passaggio da una compromissione limitata a una posizione più utile per persistenza, credential access e movimento laterale.
Come funziona tecnicamente l'exploit
Secondo l’analisi pubblicata da ACROS Security, la vulnerabilità è riconducibile a una condizione TOCTOU - Time of Check to Time of Use. L’attaccante sfrutta un collegamento simbolico per modificare il file effettivamente elaborato tra il controllo iniziale dei permessi e il caricamento dell’hive.
Nel flusso vulnerabile, Windows verifica se l’utente richiedente dispone di accesso completo al file DAT da montare. Se il controllo fallisce, il servizio può ricorrere a una funzione legacy eseguita come Local System. L’exploit sostituisce quindi il percorso del file controllato con quello del file NTUSER.DAT appartenente alla vittima.
Il risultato è che l’hive del profilo bersaglio viene montato nello spazio di registro dell’attaccante con permessi di lettura e scrittura. Il ricercatore Will Dormann ha dimostrato che un utente non amministratore può modificare l’hive delle classi e ottenere l’esecuzione automatica di codice quando l’account amministrativo effettua successivamente l’accesso.
Perché una vulnerabilità locale è rilevante per l'azienda
LegacyHive richiede che l’attaccante abbia già ottenuto accesso locale o la capacità di eseguire codice nella sessione di un utente standard. Non è quindi, da sola, una vulnerabilità remota pre-autenticazione.
Questo requisito non rende il rischio trascurabile. Nelle intrusioni reali, l’accesso iniziale viene spesso ottenuto tramite phishing, malware, furto di credenziali, abuso di software remoto o vulnerabilità applicative. L’escalation locale rappresenta la fase successiva della catena di attacco: consente di superare il contesto limitato dell’utente compromesso e aumentare il controllo sull’endpoint.
Per ridurre l’impatto di questa classe di attacchi, il patching deve essere affiancato da una protezione avanzata degli endpoint capace di rilevare processi anomali, persistenza, modifiche sospette al registro e comportamenti post-exploitation.
Sistemi interessanti e stato della correzione
ACROS Security ha pubblicato micropatch per le versioni Windows ancora supportate e per alcune versioni gestite nel programma di security adoption 0patch.
Le versioni per le quali risultano disponibili micropatch includono:
- Windows 11 23H2, 24H2 e 25H2 aggiornati a luglio 2026;
- Windows Server 2022 e Windows Server 2025 aggiornati a luglio 2026;
- Windows 11 21H2 e 22H2;
- Windows 10 dalla versione 2004 alla versione 22H2.
Secondo i test dichiarati da ACROS Security, il problema non interessa le versioni Windows precedenti a Windows 10 2004, Windows 7 e Windows Server 2008 R2, 2012, 2012 R2, 2016 e 2019. La valutazione deve comunque essere aggiornata quando Microsoft assegnerà il CVE e pubblicherà la propria matrice ufficiale dei prodotti coinvolti.
Stato al 21 luglio 2026
Nessun CVE assegnato e nessuna patch ufficiale Microsoft disponibile. Microsoft ha dichiarato di essere a conoscenza della segnalazione e di stare verificando validità e applicabilità del problema.
La micropatch gratuita rilasciata da 0patch
La micropatch modifica esclusivamente il ramo logico vulnerabile del Windows User Profile Service. Quando è presente un token utente, il caricamento dell’hive viene mantenuto nel contesto dell’utente tramite impersonation, anche se il file non è apribile con accesso completo. In questo caso l’hive viene caricato in sola lettura anziché ricadere nel percorso privilegiato eseguito come Local System.
Con la micropatch attiva, il proof of concept non riesce a montare l’hive dell’account amministrativo: viene caricato un profilo temporaneo, privo di utilità per l’attaccante. La correzione viene applicata in memoria dall’agente 0patch, senza sostituire i file binari originali e senza richiedere il riavvio del sistema.
La micropatch LegacyHive è stata inclusa nel piano gratuito fino alla disponibilità della correzione ufficiale Microsoft. Sugli endpoint online con agente 0patch, la distribuzione avviene automaticamente salvo policy aziendali che ne impediscano l’applicazione. La gestione enterprise richiede comunque gruppi pilota, criteri di approvazione, monitoraggio e rollback.
Ridurre il patch gap sui sistemi Windows
0patch consente di applicare micropatch mirate a vulnerabilità zero-day e componenti legacy, normalmente senza riavvio. Nexsys supporta assessment, pilot, distribuzione e gestione centralizzata.
Perché il micropatching è utile durante il patch gap
Il patch management tradizionale dipende dalla pubblicazione, dal test e dalla distribuzione dell’aggiornamento ufficiale. Quando i dettagli tecnici o un proof of concept diventano pubblici prima della disponibilità della patch, si crea un intervallo durante il quale anche i sistemi completamente aggiornati restano esposti.
Il micropatching riduce questa finestra intervenendo sulla porzione di codice vulnerabile, senza installare un aggiornamento cumulativo completo. Il modello è particolarmente rilevante nei seguenti scenari:
- zero-day per le quali il produttore non ha ancora rilasciato una correzione;
- sistemi fuori supporto che devono rimanere temporaneamente operativi;
- aggiornamenti ufficiali non immediatamente distribuibili per incompatibilità o vincoli produttivi;
- server e workstation con finestre di manutenzione ridotte;
- ambienti industriali o applicazioni legacy in percorso di migrazione o dismissione.
L’inventario delle build, la distribuzione dell’agente e la separazione tra gruppi pilota e produzione possono essere integrati con una piattaforma di gestione centralizzata degli endpoint. Il controllo non deve però diventare una giustificazione per rinviare indefinitamente upgrade e modernizzazione.
0patch non sostituisce Windows Update, EDR e hardening
La micropatch interviene su una specifica vulnerabilità. Non aggiorna integralmente il sistema operativo, non corregge ogni difetto presente nell’endpoint e non impedisce tutte le tecniche che un attaccante potrebbe utilizzare dopo una compromissione.
La protezione efficace richiede controlli complementari:
- patch management ordinario per sistemi operativi e applicazioni ancora supportati;
- EDR o MDR per rilevare esecuzione sospetta, persistenza e attività post-exploitation;
- separazione degli account amministrativi e riduzione dei privilegi locali;
- application control, segmentazione di rete, logging e backup verificati;
- roadmap con scadenze definite per migrazione, upgrade o dismissione dei sistemi legacy.
Un audit di sicurezza aziendale permette di verificare se la vulnerabilità si inserisce in un’esposizione più ampia relativa a privilegi, patching, inventario, endpoint security e monitoraggio.
Cosa dovrebbero fare ora le aziende
Censire le versioni e le build Windows presenti su workstation e server.
Individuare i sistemi compresi nel perimetro indicato da ACROS Security.
Verificare la disponibilità della micropatch rispetto alla build effettivamente installata.
Applicare la correzione inizialmente a un gruppo pilota rappresentativo.
Monitorare caricamenti anomali degli hive, modifiche sospette al registro e attività di escalation locale.
Limitare l’uso interattivo di account amministrativi su workstation potenzialmente compromesse.
Seguire le comunicazioni Microsoft e distribuire la patch ufficiale quando sarà disponibile e validata.
Mantenere EDR, application control, logging e segmentazione come controlli indipendenti dalla patch.
Come Nexsys può supportare l'adozione di 0patch
Nexsys affianca le aziende nell’utilizzo di 0patch come controllo compensativo inserito in un processo strutturato di vulnerability e patch management. L’attività può comprendere:
- assessment di sistemi operativi, build, applicazioni legacy e vincoli produttivi;
- verifica della copertura delle micropatch rispetto agli asset effettivamente presenti;
- definizione di gruppi pilota, policy di distribuzione e criteri di rollback;
- distribuzione centralizzata dell’agente e controllo dello stato degli endpoint;
- integrazione con EDR, endpoint management, vulnerability management e processi di incident response;
- roadmap per upgrade, segregazione o dismissione dei sistemi non più sostenibili.
La valutazione può essere inserita in un progetto di consulenza cybersecurity oppure in un servizio continuativo di gestione e monitoraggio degli endpoint.
Verifica l'esposizione dei tuoi sistemi Windows
Nexsys può verificare quali endpoint rientrano nel perimetro LegacyHive, definire un pilot 0patch e integrare la mitigazione con patch management, EDR e roadmap di modernizzazione.
Domande frequenti su LegacyHive
LegacyHive dispone già di un identificativo CVE?
Alla data del 21 luglio 2026 non risulta ancora assegnato un identificativo CVE specifico alla vulnerabilità.
Microsoft ha già pubblicato una patch?
No. Microsoft ha dichiarato di essere a conoscenza della segnalazione e di stare verificando il problema, ma non ha ancora pubblicato una correzione ufficiale.
LegacyHive può essere sfruttata direttamente da Internet?
Non autonomamente. L’attaccante deve già poter eseguire codice localmente o disporre di una sessione utente sul sistema. La vulnerabilità è però utile per aumentare i privilegi dopo l’accesso iniziale.
La micropatch LegacyHive richiede il riavvio?
No. Secondo ACROS Security, la micropatch viene applicata in memoria tramite 0patch Agent e non richiede il riavvio del computer.
La patch 0patch è una patch ufficiale Microsoft?
No. È una micropatch sviluppata da ACROS Security e distribuita come protezione temporanea in attesa della correzione ufficiale del produttore.
0patch sostituisce un EDR?
No. 0patch riduce l’esposizione a vulnerabilità specifiche; un EDR rileva e contrasta comportamenti malevoli, persistenza, esecuzione sospetta e attività successive allo sfruttamento. I controlli sono complementari.