LegacyHive : le nouveau 0-day annoncé comme "os-brisant" fait pschitt

Le "serial tormentor" de Microsoft, connu pour ses 0-days spectaculaires, a lâché LegacyHive. Verdict des chercheurs : utile en post-compromission, loin de la vulnérabilité dévastatrice promise.

Faits

Un chercheur (ou groupe) désigné dans la communauté comme le "serial tormentor de Microsoft" - auteur récurrent de 0-days visant Windows depuis plusieurs années - vient de publier LegacyHive, présenté en amont comme un "bone-shattering" zero-day. Selon The Register (15 juillet 2026), le verdict des analystes qui ont regardé le PoC (Proof of Concept) est plus mesuré : c'est un outil intéressant, mais utilisable seulement post-compromission, et loin de la dévastation annoncée.

Analyse

Le nom LegacyHive est un indice fort : la vulnérabilité touche des hives du registre Windows liés à des composants hérités (probablement des mécanismes d'authentification ou de configuration héritant de vieilles versions de NT). L'exploitation demande visiblement :

1. Un accès initial au poste ou au serveur (compte compromis, exécution de code local).
2. Des privilèges suffisants pour manipuler des clés de registre sensibles.
3. Une chaîne de configuration précise pour aboutir à l'élévation attendue.

En clair : ce n'est pas une RCE non authentifiée. On est dans le LPE (Local Privilege Escalation) chaîné, ou le persistence trick post-exploitation. Utile dans une kill chain complète, pas de quoi bâtir un ver Internet.

Ce que ça dit

• La communication autour d'un 0-day et sa réalité technique divergent souvent. Ce n'est pas la première fois qu'un chercheur annonce "the big one" et livre finalement un outil de niche.
• Ces outils restent dangereux pour les défenseurs : un attaquant ayant déjà pied dans un réseau y trouvera un moyen supplémentaire d'étendre ses privilèges, ce qui compte dans un scénario de ransomware moderne où l'élévation locale est la clé pour propager un chiffrement à l'ensemble d'un domaine.
• La bonne réponse défensive ne change pas : réduire la surface d'accès initial, cloisonner, surveiller les manipulations sensibles du registre.

À faire maintenant

• Ne pas paniquer : pas de vague d'exploitation massive attendue à court terme, la vulnérabilité n'ouvre pas une porte non authentifiée.
• Vérifier la posture EDR sur les endpoints - les vendeurs devraient pousser des règles de détection LegacyHive dans les jours qui viennent.
• Chasser les manipulations anormales de hives du registre (HKLM\SYSTEM\CurrentControlSet\..., SECURITY, SAM).
• Rappeler à la direction que la story "un 0-day sensationnel = risque immédiat" est souvent surestimée. Ce qui compte, c'est l'écosystème complet d'exploitation, pas un CVE isolé.