Morten Lyhne Petersen
En ny Windows-fejl kaldet LegacyHive er sluppet ud kort efter Microsofts rekordstore juli-opdatering, og der findes ingen rettelse.
Sårbarheden blev offentliggjort blot timer efter Microsoft tirsdag i sidste uge udsendte månedens sikkerhedspakke, og den virker også på maskiner der har installeret hele opdateringen. Der er ingen CVE-nummer, ingen officiel Microsoft-vejledning og indtil videre ingen kode-rettelse.
Fejlen blev publiceret 14. juli 2026 af en forsker kendt som Chaotic Eclipse, også kaldet Nightmare Eclipse. Ifølge samme kilde slap forskeren en fungerende demo ud cirka en time efter at Microsoft havde offentliggjort månedens patches.
Sådan virker LegacyHive
Fejlen ligger i Windows User Profile Service, den systemtjeneste der læser og skriver såkaldte registry hives, altså de filer der gemmer en brugers indstillinger og applikationsdata. Ved at manipulere hvordan tjenesten indlæser disse filer, kan en angriber få adgang til en anden brugers registerdata, inklusive en administrator.
Det gør LegacyHive til en såkaldt privilege escalation, altså en fejl der ikke i sig selv giver adgang udefra, men som lader en angriber der allerede har fodfæste på maskinen skaffe sig langt højere rettigheder end sin egen brugerkonto tillader.
Den demo-kode forskeren har offentliggjort er bevidst afsvækket. Den kræver login-oplysninger til en anden almindelig brugerkonto samt navnet på en tredje konto, og virker kun mod filen usrclass.dat. Ifølge forskeren selv kan den fulde version klare sig uden ekstra oplysninger og indlæse hvilken som helst hive-fil.
Alle understøttede Windows-versioner ramt
LegacyHive rammer systemer der kører Microsofts juli 2026-opdateringer, også dem der er fuldt opdaterede. Da Windows 11 er det dominerende styresystem på danske pc’er, betyder det i praksis, at langt de fleste danske Windows-brugere kører et system uden rettelse for fejlen.
Selve juli-opdateringen var Microsofts største nogensinde. Ifølge Krebs on Security lukkede den mindst 570 sikkerhedshuller, næsten det tredobbelte af rekorden fra måneden før. Microsofts vicedirektør Pavan Davuluri forklarer over for Krebs, at “the pace of vulnerability discovery is changing with advances in AI making it possible to find more issues, faster, across more code, with new mechanisms that can accelerate both discovery and analysis.” AI-drevne værktøjer spiller altså en rolle i det høje antal opdagede fejl.
LegacyHive var ikke med i den pakke, og fejlen står stadig åben.
Microsoft undersøger, men ingen tidsplan
Microsoft har ikke tildelt fejlen et CVE-nummer eller udsendt officiel vejledning. I en udtalelse til SecurityWeek forklarer selskabet, at det er opmærksomt på fejlen og undersøger, hvorvidt påstandene holder, og hvor bredt de rammer. Microsoft henviser samtidig til, at selskabet foretrækker at rettelser koordineres med opdageren inden offentliggørelse.
Den præcise formulering fra Microsoft lyder, at man aktivt undersøger gyldigheden og den mulige udbredelse af de fremsatte påstande. Der er ikke annonceret nogen ekstraordinær opdatering uden for den normale patch-cyklus.
Risikoen for almindelige brugere
Fordi LegacyHive kræver, at angriberen allerede har adgang til computeren som en almindelig bruger, er den ikke i sig selv en fjernangrebs-fejl. Det betyder, at den ikke kan udnyttes direkte fra internettet uden et forudgående kompromis, for eksempel via en ondsindet vedhæftet fil, et inficeret program eller en anden sårbarhed.
For hjemmebrugere er den umiddelbare risiko derfor mindre end for virksomheder og systemer med flere brugere på samme maskine, hvor fejlen kan bruges til at hoppe fra en almindelig konto til administrator. Indtil Microsoft udsender en rettelse, er det bedste generelle råd derfor at undgå at installere ukendt software, holde antivirus opdateret og være ekstra opmærksom på phishing-mails, der er de mest almindelige veje til den første fodfæste, LegacyHive kræver for at kunne bruges.
Hvornår Microsoft udsender en patch, står ikke klart. Historisk falder rettelser af den type typisk i den næste ordinære Patch Tuesday, som ligger 11. august 2026.
