Nightmare Eclipse、Windowsの新たなゼロデイ脆弱性 LegacyHiveを公開-7月Patch Tuesday直後に8件目、今回はPoCを意図的に制限|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

MicrosoftのSecurity Response Center(MSRC)への不満から未修正のWindowsゼロデイ脆弱性を連続公開してきた匿名の研究者Nightmare Eclipse(別名Chaotic Eclipse)は2026年7月16日、新たなゼロデイ脆弱性LegacyHiveを公開しました。今回の脆弱性はWindows User Profile Serviceにおけるローカル権限昇格の欠陥で、標準ユーザー権限を持つ攻撃者が管理者を含む他のユーザーのレジストリハイブを読み込めてしまうというものです。今年4月のBlueHammer・RedSun・UnDefend以降、数えて8件目となる今回の開示は、まさに2026年7月のPatch Tuesdayの直後というタイミングで行われました。これまでの開示と異なり、今回は研究者自身が即座の悪用を防ぐためPoC(概念実証)コードをあえて機能制限した状態で公開している点が特徴です。

サマリー

Nightmare EclipseはWindows User Profile Serviceのローカル権限昇格の脆弱性LegacyHiveを2026年7月16日にGitHub上で公開しました
PoCは2026年7月のMicrosoft月例パッチ適用済みの環境でも動作することが確認されています
PoCの実行には、標的とは別の標準ユーザーの認証情報と、管理者アカウントを含み得る3人目のユーザー名が必要で、成功すると標的ユーザーのハイブが現在のユーザーのクラスルートにマウントされます
研究者によれば、当初のPoCはユーザー認証情報を必要とせずusrclass.datハイブに限らず任意のハイブを読み込めるものでしたが、脆弱性の即時悪用を防ぐため意図的に機能を絞り込んで公開したとのことです
Nightmare Eclipseはこれまでにも半ダースを超えるMicrosoft製品のゼロデイを公開しており、うちBlueHammer・RedSun・UnDefendは実際の攻撃で悪用されたことが確認されています
本稿執筆時点でMicrosoftはLegacyHiveの脆弱性について公式に認知していません

1 整理表
2 LegacyHiveの技術的な詳細
3 今回はPoCを意図的に制限-これまでとの違い
4 Nightmare Eclipseによる連続開示の全貌
5 情報システム部門への示唆
6 出典

整理表

項目	内容
脆弱性名	LegacyHive
公開日	2026年7月16日
公開者	Nightmare Eclipse(別名Chaotic Eclipse)
脆弱性の種別	ローカル権限昇格(Windows User Profile Service)
影響	標準ユーザーが管理者を含む他ユーザーのレジストリハイブを読み込み可能に
PoCの動作条件	別の標準ユーザーの認証情報+3人目のユーザー名(管理者可)
検証環境	2026年7月のMicrosoft月例パッチ適用済みの現行デスクトップ・サーバー環境すべて
PoCの特徴	即時悪用を防ぐため意図的に機能を制限して公開(これまでの開示との相違点)
これまでの公開ゼロデイ(判明分)	BlueHammer・RedSun・UnDefend(4月)、GreenPlasma・YellowKey(5月)、MiniPlasma(5月)、RoguePlanet(6月)、GreatXML
Microsoftの対応	本稿執筆時点で公式な認知・声明なし

LegacyHiveの技術的な詳細

LegacyHiveは、Windows User Profile Serviceに存在する、任意のハイブ読み込みを許してしまうローカル権限昇格の脆弱性です。研究者が公開したPoCは、別の標準ユーザーの認証情報と、管理者アカウントを含み得る3人目のユーザー名を必要とし、成功すると標的ユーザーのハイブを現在のユーザーのクラスルートにマウントする挙動を示します。Windowsのユーザープロファイルサービスは通常、ログオン時に各ユーザー固有のレジストリハイブ(NTUSER.DATやUsrClass.dat)を読み込みますが、この読み込み処理に他ユーザーのハイブを不正に指定できる欠陥があったことになります。

研究者はGitHub上で公開したPoCについて、Microsoft 2026年7月の月例パッチを適用済みの、現在サポートされているすべてのデスクトップ・サーバー環境で完全に機能すると説明しています。

今回はPoCを意図的に制限-これまでとの違い

今回の公開でとりわけ注目すべき点は、Nightmare Eclipseが自らPoCの機能を絞り込んで公開したことです。研究者の説明によれば、当初発見した状態のPoCはユーザー認証情報を一切必要とせず、usrclass.datハイブに限らず任意のハイブを読み込むことが可能でした。しかし今回は、この脆弱性の即時の野放し状態での悪用を防ぐことを意図し、追加の認証情報を要求する形にPoCを弱体化させたうえで公開しています。研究者はあわせて、元の制限のない形での悪用も依然として可能ではあるものの、それにはある程度の技術的な工夫が必要になるとも述べています。

これまでNightmare Eclipseが公開してきたBlueHammer・RedSun・UnDefend・YellowKey・GreenPlasmaといった一連のゼロデイは、いずれも完全に機能するPoCがそのまま公開され、公開直後から実際の攻撃への悪用が確認されるというパターンが続いていました。今回、研究者自身が意図的に悪用のハードルを引き上げた形で公開したことは、これまでの連続開示の中でもやや異例の対応だといえます。

Nightmare Eclipseによる連続開示の全貌

当サイトでは、Nightmare Eclipseによる一連のゼロデイ開示を継続的に追跡してきました。ことの発端は2026年4月、Microsoft Defenderを標的とした3件のゼロデイ脆弱性BlueHammer・RedSun・UnDefendがGitHub上で公開されたことに遡ります。研究者はMSRCが脆弱性報告に対して動画での実証を要求するなど、対応が著しく不誠実だったと主張しており、パッチが用意される前にPoCを一般公開するという異例の抗議行動に出ました。BlueHammerはCVE-2026-33825として4月のPatch Tuesdayで修正されましたが、RedSunとUnDefendは公開時点でパッチが存在せず、いずれも公開直後から実際の攻撃チェーンでの悪用が確認されています。

続く5月12日には、BitLockerをバイパスするYellowKeyと、CTFMONプロセスを悪用したSYSTEM権限昇格を可能にするGreenPlasmaが追加公開され、こちらも即日の悪用が確認されました。さらに同月には、2020年に修正済みとされていたCVE-2020-17103が実際には未修正のままだったことを示すMiniPlasmaも公開されています。6月にはMicrosoft Defenderの新たなローカル権限昇格の脆弱性RoguePlanetが、史上最多206件の脆弱性を修正した6月のPatch Tuesdayからわずか数時間後というタイミングで公開されました。脅威ハンティング企業Huntressは、これら過去のツールが実際の攻撃チェーンで使用されたことを確認しており、Nightmare Eclipseが公開するエクスプロイトが理論上のリスクにとどまらないことを裏付けています。

これら一連の開示を受け、Microsoftは当初、協調のない脆弱性公開は正当化できないとしたうえで、悪用可能にする者への対応を継続するという、研究者への訴追を示唆するとも取れる声明を出していました。しかしセキュリティコミュニティからの強い反発を受け、その後Microsoftは方針を転換し、研究者を訴追する意図はないとする新たな声明を発表しています。今回のLegacyHiveは、この方針転換後も研究者による開示が継続していることを示す事例です。

情報システム部門への示唆

Nightmare Eclipseによる一連のゼロデイ開示は、ベンダーとの協調的な脆弱性開示プロセスが機能しなかった場合に何が起きるかを示す、継続的な実例になっています。今回のLegacyHiveは研究者自身がPoCを制限した形で公開していますが、これまでのパターンを踏まえると、制限のない完全な形でのエクスプロイトが今後出回る可能性や、他の攻撃者が今回の情報をもとに独自に完全な攻撃コードを再現する可能性は排除できません。過去の事例では、公開から実際の攻撃への悪用までの期間が極めて短かった点を踏まえ、パッチが提供され次第の迅速な適用体制と、パッチ提供までの間の代替的な緩和策の検討を、平時から準備しておくことが重要です。

また、レジストリハイブの読み込みという比較的地味な機能に権限昇格の欠陥が見つかった今回のケースは、OSの基本的なサービスであっても継続的な脆弱性調査の対象になり得ることを示しています。エンドポイント監視においては、通常のユーザープロファイル読み込みとは異なる異常なハイブマウントの挙動がないか、EDR等のログを通じて確認できる体制を整えておくことも一つの備えになります。