PoC zero-day Windows LegacyHive được công bố sau Patch Tuesday
"A researcher released a proof-of-concept exploit called LegacyHive for a Windows User Profile Service arbitrary hive load elevation-of-privileges flaw, and said it remains functional on all supported desktop and server versions of Windows, including systems updated with the latest July 2026 Patch Tuesday. The article also notes Microsoft’s July 2026 security update patched 622 flaws, including actively exploited privilege escalation and authentication bypass issues in SharePoint Server and Active Directory Federation Services, with CISA adding several CVEs to its KEV catalog."
Nguy cơ leo thang đặc quyền trên Windows và khả năng khai thác thực tế tăng cao do LegacyHive được mô tả là hoạt động trên nhiều bản Windows đã cập nhật; đồng thời có nhiều lỗ hổng actively exploited trong hệ sinh thái doanh nghiệp như SharePoint Server.
Tác động vận hành đáng kể do yêu cầu cập nhật gấp cho các hệ thống SharePoint Server và AD FS theo CISA KEV, có thể gây gián đoạn kế hoạch vá lỗi và tăng chi phí kiểm tra/giám sát khi có dấu hiệu khai thác.
Một nhà nghiên cứu bảo mật đã công bố proof-of-concept (PoC) mang tên LegacyHive cho Windows, nhắm vào Windows User Profile Service (ProfSvc) với lỗi arbitrary hive load dẫn đến elevation of privileges. Theo mô tả, PoC cần một tài khoản người dùng chuẩn và thêm một tên người dùng (có thể là tài khoản quản trị). Nếu thành công, PoC có thể mount hive người dùng đích vào ngữ cảnh lớp người dùng hiện tại.
Điểm đáng chú ý là nhà nghiên cứu cho biết LegacyHive vẫn hoạt động trên mọi phiên bản Windows desktop và server đang được hỗ trợ, kể cả các hệ thống đã cài bản cập nhật July 2026 Patch Tuesday. Bài viết cũng nêu rằng PoC đã được rút gọn để giảm khả năng khai thác công khai.
Song song, Microsoft phát hành bản vá cho 622 lỗ hổng trong đợt July 2026, bao gồm các vấn đề privilege escalation tại SharePoint Server (CVE-2026-56164) và Active Directory Federation Services (CVE-2026-56155) đã được ghi nhận actively exploited. CISA đưa các CVE này vào KEV catalog với mốc áp dụng cho cơ quan FCEB. Khuyến nghị: ưu tiên rà soát và vá SharePoint/AD FS theo lịch KEV, đồng thời kiểm tra phơi nhiễm đối với ProfSvc và theo dõi phản hồi từ phía nhà cung cấp.