یک پژوهشگر امنیتی با نام مستعار Nightmare Eclipse، اکسپلویت روز صفر LegacyHive را برای ویندوز منتشر کرده است؛ اکسپلویتی که با سوءاستفاده از یک آسیب‌پذیری در سرویس پروفایل کاربر ویندوز (Windows User Profile Service)، امکان افزایش سطح دسترسی (Privilege Escalation) را برای مهاجمان حتی در سیستم‌های ویندوزی مجهز به آخرین به‌روزرسانی‌های امنیتی فراهم می‌کند. اکسپلویت روز صفر LegacyHive تنها چند ساعت پس از انتشار به‌روزرسانی‌های Patch Tuesday مایکروسافت در جولای 2026 منتشر شد و با وجود اینکه این ضعف امنیتی هنوز شناسه CVE دریافت نکرده، انتشار کد اثبات مفهوم (PoC) و تأیید عملکرد آن توسط پژوهشگران، توجه مایکروسافت و جامعه امنیت سایبری را به خود جلب کرده است.
اکسپلویت روز صفر LegacyHive با محدودیت منتشر شد
برخلاف اکسپلویت‌های قبلی منتشرشده توسط Nightmare Eclipse، نسخه PoC مربوط به اکسپلویت روز صفر LegacyHive به‌گونه‌ای طراحی شده است که برای اجرا به اطلاعات ورود بیشتری نیاز دارد؛ اقدامی که سوءاستفاده از این آسیب‌پذیری را برای مهاجمان دشوارتر می‌کند.
به گفته این پژوهشگر، اجرای PoC مستلزم اطلاعات ورود یک حساب کاربری استاندارد (Standard User) و نام کاربری یک حساب دیگر است که می‌تواند یک حساب مدیریتی (Administrator) باشد. در صورت موفقیت‌آمیز بودن سوءاستفاده، هایو (Hive) کاربر هدف در شاخه Root کلاس‌های کاربر فعلی (Current User Classes Root) مونت (Mount) خواهد شد.
همچنین وی تأکید کرد نسخه منتشرشده PoC به‌صورت عمدی با محدودیت‌هایی همراه شده است تا از سوءاستفاده عمومی از این آسیب‌پذیری جلوگیری شود. به گفته او، نسخه اولیه PoC نه‌تنها به اطلاعات ورود اضافی نیازی نداشت، بلکه به فایل هایو مربوط به usrclass.dat نیز محدود نبود. این ضعف امنیتی امکان مونت هر هایو رجیستری را فراهم می‌کرد؛ قابلیتی که البته سوءاستفاده از آن به دانش و مهارت فنی بیشتری نیاز دارد.
نحوه اجرای خودکار کد پس از سوءاستفاده از آسیب‌پذیری
تحلیلگران شرکت Tharros پس از بررسی اکسپلویت روز صفر LegacyHive اعلام کردند که سوءاستفاده موفق از این آسیب‌پذیری به کاربران بدون دسترسی ادمین اجازه می‌دهد هایو رجیستری مربوط به Classes را تغییر دهند.
به گفته این تحلیلگران، در صورت اعمال این تغییرات، هنگام ورود ادمین به سیستم آلوده، اجرای خودکار کد امکان‌پذیر خواهد بود.
آن‌ها برای نمایش نحوه عملکرد این آسیب‌پذیری، فایل‌های .txt را به‌گونه‌ای تنظیم کردند که به‌جای برنامه پیش‌فرض، با calc.exe باز شوند.
تحلیلگران Tharros هشدار دادند این تنها نمونه‌ای ساده از قابلیت‌های این اکسپلویت است و مهاجمان می‌توانند حتی بدون نیاز به تعامل کاربر، از آن در سناریوهای پیچیده‌تر و مخرب‌تری سوءاستفاده کنند.
تأیید عملکرد اکسپلویت روز صفر LegacyHive و انتشار ابزارهای شناسایی
یک روز پس از انتشار PoC، یکی از پژوهشگران شناخته‌شده امنیت سایبری با نام Kevin Beaumont عملکرد اکسپلویت روز صفر LegacyHive را تأیید کرد. همچنین او مجموعه‌ای از کوئری‌های شکار تهدید (Threat Hunting Queries) را نیز برای شناسایی تلاش‌های سوءاستفاده از این آسیب‌پذیری در بستر Microsoft Defender for Endpoint (MDE) منتشر کرد تا تیم‌های امنیتی بتوانند فعالیت‌های مشکوک را سریع‌تر شناسایی و بررسی کنند.
مایکروسافت نیز در واکنش به این گزارش اعلام کرد که از این آسیب‌پذیری مطلع است و در حال بررسی صحت گزارش‌های منتشرشده و تأثیر احتمالی آن بر محصولات خود است. همچنین این شرکت تأکید کرد که در صورت تأیید این ضعف امنیتی، به‌روزرسانی‌های لازم را در سریع‌ترین زمان ممکن برای محافظت از کاربران منتشر خواهد کرد.
علاوه براین، مایکروسافت بار دیگر بر اهمیت افشای هماهنگ آسیب‌پذیری تأکید کرد و آن را یکی از اصول مهم صنعت امنیت سایبری دانست. به گفته این شرکت، این فرآیند به پژوهشگران و تولیدکنندگان نرم‌افزار فرصت می‌دهد تا پیش از انتشار عمومی جزئیات فنی، آسیب‌پذیری‌ها را به‌دقت بررسی و برطرف کنند.
سابقه Nightmare Eclipse در انتشار اکسپلویت‌های روز صفر ویندوز
Nightmare Eclipse طی ماه‌های اخیر چندین اکسپلویت روز صفر را برای محصولات و کامپوننت‌های مختلف ویندوز منتشر کرده است. مهم‌ترین اکسپلویت‌های منتشرشده توسط این پژوهشگر عبارتند از:
- RoguePlanet (Microsoft Defender)
- BlueHammer
- RedSun
- YellowKey (BitLocker)
- GreenPlasma (BitLocker)
- MiniPlasma
- UnDefend
مایکروسافت پیش‌تر آسیب‌پذیری‌های GreenPlasma، MiniPlasma و YellowKey را در به‌روزرسانی‌های Patch Tuesday ژوئن 2026 برطرف کرد. همچنین آسیب‌پذیری RoguePlanet نیز در به‌روزرسانی‌های امنیتی جولای پچ شد.
واکنش مایکروسافت به افشاگری‌های Nightmare Eclipse
مایکروسافت در ماه‌های اخیر نسبت به انتشار عمومی آسیب‌پذیری‌های شناسایی‌شده توسط Nightmare Eclipse موضع‌گیری کرده است.این شرکت با انتشار بیانیه‌هایی هشدار داد، افرادی که با انجام فعالیت‌های مخرب به مشتریان این شرکت آسیب وارد کنند، ممکن است با پیگرد قانونی مواجه شوند.
این موضع‌گیری مایکروسافت از نگاه برخی کارشناسان امنیت سایبری، واکنشی مستقیم به فعالیت‌های Nightmare Eclipse بود و بار دیگر اختلاف دیدگاه دو طرف درباره نحوه افشای هماهنگ آسیب‌پذیری‌ها را آشکار کرد.
