Trente minutes. C’est le temps qu’il aura fallu à un chercheur pour doucher l’optimisme des équipes qui venaient d’appliquer le Patch Tuesday de juillet. Baptisé LegacyHive, ce PoC (preuve de concept) vise une faille d’élévation de privilèges dans le service de profil utilisateur de Windows. Et détail savoureux : la version publique fonctionnerait encore sur des machines à jour, alors qu’aucun CVE ni correctif dédié n’existe pour la traiter.
Le code a été diffusé par un chercheur pseudonyme associé à Nightmare-Eclipse. D’après les éléments recoupés par plusieurs acteurs de la cybersécurité, l’exploit cible ProfSvc, le service qui charge les profils à l’ouverture de session. La version publiée réclame un identifiant supplémentaire pour fonctionner, une restriction que son auteur affirme absente de la variante originale.
Points clés
- LegacyHive cible le service ProfSvc de Windows via une manipulation du chargement de ruche du registre
- Le PoC public a été diffusé 30 minutes après le Patch Tuesday de juillet 2026 et resterait fonctionnel sur des systèmes à jour
- Aucun CVE ni correctif dédié n’a encore été attribué à la faille
- La vulnérabilité rappelle une classe de failles déjà traitée par Microsoft en 2015 (CVE-2015-0004)
Une faille locale qui vise le service de profil
Le principe repose sur une manipulation du chargement de ruche du registre. Un utilisateur standard peut pousser le service de profil, qui tourne avec des privilèges système, à monter un fichier de registre contrôlé par l’attaquant. La version publique serait volontairement bridée : limitée à un compte secondaire et à un scénario plus étroit que celui décrit par son auteur.
CrowdStrike rapporte que le PoC a été publié à peine une demi-heure après les annonces de Microsoft. L’éditeur précise que la version partagée ne reproduit pas toute l’ampleur de l’exploit revendiqué. La variante privée, elle, serait capable de charger des ruches arbitraires.
« La PoC publiée serait délibérément allégée et exige des identifiants pour un compte utilisateur secondaire ; l’auteur affirme cependant que la version originale n’impose aucune restriction et ne se limite pas à UsrClass.dat, ce qui permettrait potentiellement de charger n’importe quelle ruche du registre. »
CrowdStrike, analyse du Patch Tuesday de juillet 2026
Un vieux problème de frontière de confiance qui ressort
Le genre de faille décrit n’a rien d’inédit chez Windows. CrowdStrike la rattache à une classe de vulnérabilités déjà traitée par Microsoft en 2015, avec CVE-2015-0004, qui concernait elle aussi le chargement de la ruche d’un autre utilisateur. La nouveauté tient au mécanisme de contournement et au fait que l’exploit resterait utilisable après les correctifs de juillet 2026.
Les conséquences sont celles d’une élévation de privilèges locale : persistance via le registre, accès à des données sensibles, contournement de protections ou sabotage des outils de sécurité. À ce stade, aucun correctif dédié n’est disponible et aucun CVE n’a été attribué.
Un mois de juillet déjà bien rempli pour Microsoft
LegacyHive débarque dans un Patch Tuesday déjà dense. Microsoft a publié en juillet 2026 des correctifs pour un volume record de vulnérabilités, dont plusieurs failles de haute gravité et des problèmes déjà exploités en conditions réelles, selon les comptes rendus de Rapid7 et d’autres équipes de veille. SharePoint et Active Directory Federation Services figurent parmi les sujets les plus suivis.
Le PoC vient grossir une série de publications qui testent la résistance des versions corrigées de Windows et exposent, sitôt le Patch Tuesday passé, des chemins d’attaque encore valides. Les administrateurs disposent pour l’instant d’une version publique limitée. Reste que la description technique laisse peu de doute sur l’existence d’une variante nettement plus musclée dans la nature.
