Microsoft Menambal Zero-Day Windows LegacyHive yang Memungkinkan Perolehan Hak Administrator
Microsoft telah merilis pembaruan keamanan untuk memperbaiki vulnerability zero-day Windows yang dikenal sebagai LegacyHive. Celah tersebut sebelumnya diungkapkan setelah pembaruan July 2026 Patch Tuesday dan diketahui dapat dimanfaatkan untuk meningkatkan hak akses hingga menjadi administrator.
Vulnerability ini kini dilacak sebagai CVE-2026-62832 dan telah diperbaiki melalui pembaruan keamanan Microsoft pada August 2026 Patch Tuesday.
LegacyHive menjadi perhatian karena proof-of-concept (PoC) exploit untuk vulnerability tersebut telah dipublikasikan sebelum Microsoft menyediakan patch resmi.
LegacyHive Berada di Windows User Profile Service
LegacyHive berkaitan dengan Windows User Profile Service, komponen Windows yang menangani berbagai aspek profil pengguna, termasuk registry hive yang digunakan oleh akun pengguna.
Peneliti keamanan yang menggunakan nama Nightmare Eclipse mengungkap PoC LegacyHive beberapa jam setelah Microsoft merilis pembaruan July 2026 Patch Tuesday.
Peneliti tersebut sebelumnya juga telah mempublikasikan sejumlah zero-day Windows lainnya sebagai bentuk protes terhadap kebijakan bug bounty dan vulnerability disclosure Microsoft.
Berbeda dengan beberapa exploit yang sebelumnya dirilis, LegacyHive memiliki persyaratan tambahan berupa credentials tertentu. Kondisi tersebut membuat vulnerability ini lebih sulit untuk langsung dimanfaatkan oleh threat actor yang tidak memiliki akses awal ke sistem.
Namun, analisis lebih lanjut menunjukkan bahwa vulnerability tersebut tetap dapat memberikan jalur privilege escalation yang serius.
Non-Admin Dapat Memperoleh Hak Administrator
Analis vulnerability Will Dormann menjelaskan bahwa pengguna non-admin dapat memanfaatkan exploit LegacyHive untuk memodifikasi Classes registry hive.
Perubahan tersebut kemudian dapat menyebabkan code execution secara otomatis ketika akun administrator melakukan login ke sistem yang telah dikompromikan.
Skenario ini membuat vulnerability menjadi berbahaya terutama pada komputer yang digunakan oleh beberapa akun dengan tingkat hak akses berbeda.
Seorang attacker yang telah memiliki akses sebagai pengguna lokal dengan hak terbatas berpotensi menggunakan vulnerability tersebut untuk meningkatkan privilege dan mendapatkan kendali yang lebih besar terhadap sistem.
PoC LegacyHive Terbukti Berfungsi
Validitas exploit tersebut kemudian diperkuat oleh pakar cybersecurity Kevin Beaumont.
Sehari setelah PoC dipublikasikan, Beaumont merilis sejumlah detection queries untuk Microsoft Defender for Endpoint (MDE) yang dirancang untuk membantu mendeteksi aktivitas LegacyHive.
Ia juga mengonfirmasi bahwa exploit yang dipublikasikan tersebut dapat berfungsi.
Temuan ini meningkatkan urgensi bagi administrator Windows untuk memperbarui sistem, terutama karena threat actor dapat mempelajari teknik eksploitasi dari PoC publik dan mengembangkan versi exploit mereka sendiri.
Microsoft Memberikan Patch Resmi
Microsoft kini telah memasukkan perbaikan LegacyHive ke dalam August 2026 Patch Tuesday.
Vulnerability tersebut secara resmi diberi identitas CVE-2026-62832.
Microsoft menjelaskan bahwa LegacyHive berasal dari masalah improper link resolution before file access, atau link following, pada Windows User Profile Service.
Eksploitasi membutuhkan attacker yang telah terautentikasi dan memiliki credentials untuk akun lokal lainnya.
Menurut Microsoft, attacker dapat menjalankan aplikasi yang telah dimodifikasi secara khusus untuk memuat registry hive milik pengguna lain.
Jika eksploitasi berhasil, attacker dapat:
- Mengakses data milik pengguna lain
- Memodifikasi data pengguna lain
- Memperoleh administrator privileges
- Menjalankan aktivitas dengan tingkat hak akses yang lebih tinggi
Microsoft juga menyatakan bahwa eksploitasi tidak membutuhkan user interaction.
Persyaratan Akses Membatasi Eksploitasi
Meskipun LegacyHive dikategorikan sebagai zero-day, vulnerability ini tidak dapat dieksploitasi begitu saja dari jarak jauh tanpa persyaratan tambahan.
Attacker terlebih dahulu membutuhkan credentials untuk akun lokal lain pada sistem target.
Persyaratan tersebut menjadi salah satu faktor yang mengurangi kemungkinan vulnerability digunakan dalam serangan massal dari Internet.
Namun, pada sistem yang telah terlebih dahulu dikompromikan melalui malware, phishing, stolen credentials, atau metode lainnya, vulnerability privilege escalation seperti LegacyHive dapat menjadi bagian penting dari attack chain.
Attacker dapat menggunakan akses pengguna biasa sebagai titik awal, kemudian memanfaatkan vulnerability untuk meningkatkan privilege hingga administrator.
Patch Tidak Resmi Sudah Tersedia Sebelumnya
Sebelum Microsoft merilis patch resmi, ACROS Security, perusahaan di balik platform 0Patch, telah menyediakan unofficial patch gratis untuk LegacyHive.
Patch tersebut dirilis pada 20 Juli dan ditujukan untuk sistem yang menjalankan Windows 10 2004 atau versi lebih baru serta Windows Server 2022 atau versi lebih baru.
Namun, dengan tersedianya patch resmi Microsoft, administrator sebaiknya menggunakan pembaruan keamanan resmi sesuai versi Windows yang digunakan.
LegacyHive Bagian dari Rangkaian Zero-Day Windows
LegacyHive bukan satu-satunya zero-day Windows yang diungkap Nightmare Eclipse dalam beberapa bulan terakhir.
Sejak April 2026, peneliti tersebut telah mengungkap sejumlah vulnerability lain yang menyerang berbagai komponen Microsoft, termasuk ShieldBreak, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma, dan UnDefend.
Beberapa vulnerability telah memperoleh patch resmi dari Microsoft.
YellowKey, GreenPlasma, dan MiniPlasma diperbaiki dalam June 2026 Patch Tuesday, sementara RoguePlanet mendapatkan patch pada July 2026.
Namun, sejumlah zero-day lainnya masih belum memperoleh pembaruan resmi.
Rangkaian pengungkapan tersebut membuat aktivitas Nightmare Eclipse menjadi perhatian tersendiri bagi komunitas keamanan Windows, terutama karena beberapa PoC exploit dipublikasikan sebelum tersedianya patch resmi.
Administrator Windows Disarankan Segera Memperbarui Sistem
Dengan tersedianya patch untuk CVE-2026-62832, pengguna dan administrator Windows sebaiknya segera memasang pembaruan keamanan August 2026 Patch Tuesday.
Organisasi yang menggunakan Microsoft Defender for Endpoint juga dapat memanfaatkan detection queries yang tersedia untuk mencari indikasi eksploitasi LegacyHive pada sistem mereka.
Selain melakukan patching, administrator sebaiknya memeriksa aktivitas mencurigakan pada akun lokal, perubahan registry yang tidak biasa, serta indikasi privilege escalation.
Hal ini terutama penting pada sistem yang memungkinkan beberapa akun dengan tingkat akses berbeda untuk melakukan login secara lokal.
LegacyHive menunjukkan bahwa vulnerability yang membutuhkan akses lokal tetap dapat menjadi ancaman serius. Ketika attacker telah memperoleh foothold melalui metode lain, celah privilege escalation dapat menjadi langkah berikutnya untuk mengambil alih sistem dengan hak administrator.
Sumber: Microsoft
