Une nouvelle faille zero-day sur Windows dévoilée le jour du Patch Tuesday de juillet 2026
Le 14 juillet 2026, un jour marquant pour Microsoft avec la publication de son plus important Patch Tuesday, a également été le théâtre de la révélation d’une faille de sécurité zero-day nommée LegacyHive. Ce défaut, découvert par le chercheur Nightmare Eclipse, permet une élévation de privilèges dans le service de profils utilisateur de Windows. Actuellement, aucun correctif n’est disponible et aucune identification CVE n’a été attribuée à cette vulnérabilité.
Ce scénario n’est pas inédit. Chaque mois, après la publication des correctifs, Nightmare Eclipse a régulièrement exposé des failles non corrigées. En juin 2026, c’était la faille RoguePlanet qui avait été révélée dans des circonstances similaires. Cette fois, LegacyHive a été annoncée moins d’une heure après la mise en ligne des mises à jour de juillet.
Détails techniques de la vulnérabilité
La vulnérabilité cible le service profsvc, responsable de la gestion des profils utilisateur lors des connexions sur Windows. Nightmare Eclipse décrit cette faille comme permettant le chargement arbitraire d’une ruche de registre, entraînant une élévation de privilèges. En pratique, un utilisateur standard pourrait détourner le mécanisme de chargement de profils pour monter une ruche contrôlée par l’attaquant, ce qui pourrait donner accès aux données d’autres utilisateurs, y compris celles des administrateurs.
Bien que cette faille représente une élévation de privilèges en local, elle nécessite un accès préalable à un système Windows pour être exploitée. Une fois qu’un attaquant a obtenu un premier accès, il pourrait potentiellement prendre le contrôle total de la machine.
PoC bridé et implications
Un aspect notable de cette divulgation est que Nightmare Eclipse a choisi de limiter le code de preuve de concept (PoC) diffusé, contrairement à ses publications précédentes. Le code actuel exige l’identification d’un second utilisateur standard ainsi que le nom d’un troisième compte, qui peut être administrateur, et se limite à la ruche usrclass.dat. Toutefois, le chercheur affirme qu’une version plus agressive du PoC, sans ces limitations, existe.
Absence de correctif et tensions avec Microsoft
Aucune mise à jour corrective n’a été publiée par Microsoft, et le conflit entre le chercheur et le Microsoft Security Response Center (MSRC) persiste depuis plusieurs mois. Ce manque de réactivité pourrait inciter Microsoft à publier une mise à jour hors bande pour corriger cette faille, bien que des mes d’atténuation soient également envisageables.
La situation actuelle souligne la vulnérabilité persistante des systèmes Windows face à des menaces récurrentes, laissant les utilisateurs exposés tant qu’un correctif n’est pas déployé.
Source : IT-Connect
