LegacyHive : 新たに発表された「OSを破壊する」と称される0-dayが不発に終わる

Microsoftの「シリアル・トーメント」こと、0-day攻撃で知られるハッカーが、LegacyHiveを公開した。研究者の評価は、侵害後の活動に役立つものの、予想されたような破壊的な脆弱性ではないというものだ。

Faits

コミュニティで「Microsoftの連続的な苦しめる者」として知られる研究者（またはグループ）が、これまで何年もWindowsを狙った0-dayの著者として知られています。この研究者は、LegacyHiveを公開しました。これは事前に「骨を砕く」ゼロデイとして紹介されました。The Register（2026年7月15日）によると、PoC（Proof of Concept）を確認したアナリストの評価はより控えめです：これは興味深いツールですが、侵害後にのみ使用可能であり、予告されたような破壊的なものではありません。

分析

LegacyHiveという名前は強いヒントです：この脆弱性は、Windowsレジストリのハイブに影響を与え、おそらくNTの古いバージョンから継承された認証または設定メカニズムに関連する遺産コンポーネントに関連しています。この悪用には明らかに以下が必要です：

1. 初期アクセスが必要です（コンプロミットされたアカウント、ローカルコードの実行）。
2. 感度の高いレジストリキーを操作するための十分な特権が必要です。
3. 正確な設定チェーンが必要です。

要するに、これは認証されていないRCEではありません。これはチェーン化されたLPE（ローカル特権昇格）またはポストエクスプロイテーションの持続性トリックです。完全なキルチェーンでは役立ちますが、インターネットワームを構築するには十分ではありません。

これは何を意味するのか

• 0-dayの周辺のコミュニケーションとその技術的な現実はしばしば異なります。研究者が「大きなもの」を宣言し、最終的にニッチなツールを提供するのはこれが初めてではありません。
• これらのツールは防御者にとって依然として危険です：ネットワーク内に既に足場を築いた攻撃者は、特権を拡大するための追加手段を見つけるでしょう。これは、現代のランサムウェアシナリオにおいて、ドメイン全体に暗号化を拡散するためのローカル昇格が鍵であるため、重要です。
• 防御の適切な対応は変わりません：初期アクセスの表面積を減らす、セグメント化、レジストリの感度の高い操作を監視する。

今すぐ行うべきこと

• パニックに陥らない：短期的には大規模な悪用の波は予想されていないため、この脆弱性は認証されていないドアを開くものではない。
• EDRの姿勢を確認：ベンダーは数日以内にLegacyHiveの検出ルールをプッシュするはずです。
• レジストリハイブの異常な操作を狩る（HKLM\SYSTEM\CurrentControlSet\...、SECURITY、SAM）。
• 経営陣に「センセーショナルな0-day = 即時のリスク」というストーリーはしばしば過大評価されていることを思い出させる。重要なのは完全な悪用エコシステムであり、単一のCVEではない。