2026年7月微软Patch Tuesday补丁推送完成后大量企业安全团队刚完成终端漏洞复测与补丁部署工作一则高危零日漏洞情报直接打破全网防护节奏。安全研究员Nightmare Eclipse公开了名为LegacyHive的Windows本地提权零日漏洞完整PoC工具该漏洞瞄准Windows系统核心用户配置服务ProfSvc能够让普通低权限用户突破系统原生权限隔离篡改管理员注册表配置并最终接管系统最高权限。和常规Windows漏洞不同LegacyHive不存在版本豁免、补丁豁免的情况本次7月月度补丁完全无法修复该风险。截至目前微软既没有分配CVE漏洞编号也没有发布临时补丁和修复方案仅对外确认知晓漏洞存在并启动调查。更危险的是可直接复用的攻击代码已经公开黑产团伙已经快速吸纳该漏洞武器开始在野批量探测利用。对于企业安全运维、终端安全负责人、内网渗透从业者来说掌握该漏洞的底层原理、攻击链路、检测方式和防御配置是现阶段必须落地的安全工作。1 LegacyHive漏洞基础信息与核心风险定位很多安全人员习惯性认为月度补丁更新后系统会处于安全状态这也是本次LegacyHive漏洞造成大范围风险的核心原因。多数Windows漏洞都是代码逻辑缺陷、缓冲区溢出、权限校验遗漏等常规问题可通过微软月度补丁迭代修复但LegacyHive触及的是Windows用户配置体系的底层设计逻辑问题。该漏洞作用主体为Windows User Profile Service系统简称ProfSvc。这是Windows开机自启、全程常驻的核心系统服务默认运行权限为NT AUTHORITY\SYSTEM也就是系统最高权限。Windows所有用户的登录初始化、配置文件加载、桌面环境渲染、注册表Hive挂载全部由ProfSvc统一调度执行。Windows系统为了区分不同用户权限设计了严格的注册表隔离机制。每一个系统用户都会对应独立的注册表配置文件普通用户仅能读写自身用户目录下的注册表Hive无法访问、修改、挂载管理员用户的usrclass.dat、ntuser.dat等核心配置文件。这套隔离机制是Windows本地权限安全的基础屏障绝大多数本地提权漏洞都无法绕过该底层规则。LegacyHive的核心危害就是彻底击穿了这层基础隔离屏障。漏洞利用过程中低权限用户可以主动触发ProfSvc服务异常加载逻辑强制服务以系统最高权限将管理员用户的usrclass.dat挂载到当前低权限用户的ClassesRoot注册表路径下。挂载完成后低权限账户直接获得管理员注册表配置的读写权限无需任何系统高级权限、无需管理员密码、无需UAC弹窗确认即可植入恶意配置、预留持久化后门。结合披露者Nightmare Eclipse的公开信息该研究员长期深耕Windows底层零日漏洞挖掘本次LegacyHive是其公开的第7个Windows零日PoC。其此前披露的6个零日漏洞中3个已经被监测到大规模在野利用多次引发企业内网沦陷、数据泄露、服务器被植入挖矿木马等安全事件。该漏洞公开后黑产利用链条成型速度极快普通企业终端、内网服务器、办公电脑均处于高危暴露状态。知名安全研究员Will Dormann对该漏洞的评价精准点明了核心风险非管理员可控修改管理员ClassesRoot注册表不是单一的提权漏洞而是一套强大的权限突破原语。攻击者可以基于该能力衍生出注册表劫持、权限持久化、内网横向移动、凭证窃取、权限维持等多种高级攻击手段后续衍生攻击的危害远大于单次提权本身。2 漏洞底层原理深度拆解可落地理解想要彻底做好漏洞防御和检测不能只停留于“高危提权漏洞”的表层认知必须理清ProfSvc服务的运行机制和漏洞触发的核心逻辑。Windows系统每一次用户登录都会触发ProfSvc的标准化执行流程读取用户SID、加载对应用户配置文件、挂载注册表Hive、初始化桌面与服务配置、完成用户权限环境初始化。正常场景下ProfSvc会严格匹配登录用户SID与注册表Hive文件归属仅加载当前登录用户的配置文件拒绝所有跨用户的Hive挂载请求。系统通过SID校验、文件权限ACL、注册表路径权限三重校验杜绝低权限用户篡改高权限用户配置的情况。LegacyHive漏洞的核心缺陷在于ProfSvc处理旧版兼容注册表加载请求时的权限校验逻辑缺失。Windows为了兼容老旧软件与系统配置保留了Legacy兼容加载机制该机制在设计时优先保障兼容性弱化了权限校验规则。攻击者可以通过构造特殊的注册表路径参数欺骗ProfSvc调用Legacy加载接口。该接口不会校验目标Hive文件的用户归属权限仅校验当前进程是否为系统服务调用。由于ProfSvc本身以SYSTEM权限运行调用Legacy加载接口后会无条件将攻击者指定的管理员usrclass.dat文件挂载到当前低权限用户的HKEY_CURRENT_USER\ClassesRoot路径下。挂载成功后当前低权限用户拥有该注册表路径的完全控制权限可随意修改管理员注册表的文件关联、协议处理器、COM组件、启动回调等核心配置。这些配置会在管理员用户登录系统时自动生效攻击者借此实现无交互、无弹窗、无日志告警的静默提权。整个漏洞触发过程不需要外部网络端口、不需要特殊系统权限、不需要用户交互纯本地触发。这也是该漏洞比远程漏洞、普通本地提权漏洞更危险的核心点内网隔离终端、未暴露端口的服务器、物理隔离办公设备全部可以被就地提权。3 完整攻击链路可视化拆解整个攻击流程分为五个核心阶段从低权限驻留到系统权限接管链路闭环且无防护断点。我将通过流程图完整还原攻击全过程方便安全人员对照梳理防御节点。attacker-终端: 获取普通低权限账号驻留终端-ProfSvc: 发送Legacy兼容加载恶意请求ProfSvc-系统内核: 绕过权限校验加载管理员usrclass.dat系统内核-注册表: 挂载管理员配置至当前用户ClassesRoot攻击者-注册表: 篡改管理员启动/协议/COM配置管理员-终端: 正常登录系统终端-恶意代码: 自动加载篡改注册表配置恶意代码-系统: 完成提权获取SYSTEM权限第一阶段为低权限账号驻留。攻击者通过内网弱口令扫描、员工账号脱库、钓鱼落地、本地弱密码爆破等常见方式获取目标Windows设备的普通域用户、本地标准用户权限。该权限是绝大多数企业员工的日常操作权限门槛极低几乎所有内网终端都存在该入口。第二阶段为恶意Hive强制加载。攻击者运行PoC工具构造特殊的Legacy兼容参数向ProfSvc服务发送加载请求。服务识别为兼容加载请求后放弃跨用户权限校验以系统最高权限读取管理员用户的usrclass.dat配置文件并挂载至当前低权限用户的注册表目录。第三阶段为静默注册表篡改。攻击者在已挂载的管理员注册表路径中植入恶意持久化配置。常见落地方式包括修改文件执行协议、新增COM组件回调、配置开机静默启动项、绑定系统事件触发程序等。所有修改操作无系统弹窗、无高危日志告警常规安全软件无法识别异常。第四阶段为触发恶意代码执行。该漏洞的核心触发条件为管理员账号登录。企业运维、管理员日常登录服务器、终端运维账号登录时系统会自动加载自身用户的注册表配置提前植入的恶意代码会同步触发运行。第五阶段为权限完全接管。恶意代码依托管理员注册表的信任机制运行直接获取管理员权限后续可通过系统权限拓展、服务创建、内核调用等方式提升至SYSTEM最高权限完全控制目标设备实现内网驻留、横向移动、数据窃取等后续攻击。4 漏洞影响范围与风险等级精准判定目前全网实测结果可以确认LegacyHive漏洞覆盖微软所有官方支持的Windows系统版本包含桌面端和服务器端全系列产品。其中涵盖Windows 10全版本、Windows 11全版本、Windows Server 2016/2019/2022等主流服务器系统不存在任何系统版本豁免情况。重点强调2026年7月微软最新Patch Tuesday补丁对该漏洞完全无效。本次月度补丁修复的数十个高危漏洞均为常规代码漏洞、远程代码执行漏洞、权限提升漏洞未触及ProfSvc Legacy兼容加载的底层逻辑缺陷。所有已经完成7月补丁更新的终端和服务器依旧存在可被直接利用的漏洞风险。从企业安全运维视角该漏洞的风险覆盖面远超普通零日漏洞。第一办公终端全员暴露普通员工账号均可触发漏洞企业内网海量低权限账号为攻击提供充足入口第二服务器无防护能力Windows服务器普遍采用管理员账号登录运维恰好匹配该漏洞的触发条件第三无边界防护防火墙、端口过滤、外网隔离策略均无法拦截本地漏洞利用行为。和传统提权漏洞对比LegacyHive的不可控性更强。传统漏洞大多需要特定系统版本、特定组件安装、特定系统配置才能利用而该漏洞依赖的ProfSvc服务是系统默认核心组件所有Windows设备默认启用无关闭、卸载可能不存在利用前置门槛。5 官方处置现状与短期修复预期截至2026年7月中旬微软官方未发布任何实质性修复措施。官方公开回应仅为“知悉漏洞存在正在开展技术调查与风险评估”未分配CVE编号、未发布临时缓解方案、未披露修复时间表、未推送紧急补丁。安全行业技术团队对漏洞成因复盘后确认LegacyHive不属于普通代码漏洞不属于缓冲区溢出、越界读取、权限校验缺失等常规可快速修复问题属于Windows用户配置框架的底层设计兼容缺陷。这类底层架构问题的修复周期极长微软需要完成架构复盘、逻辑重构、兼容性测试、全版本适配等一系列工作。短期1-2个月度补丁周期内微软大概率无法完成彻底修复。后续即便推送补丁也大概率以临时限制兼容逻辑、收紧权限校验的临时方案为主无法彻底根除风险且可能带来老旧软件兼容故障。这意味着企业需要长期依赖自定义防护策略而非等待官方补丁兜底。同时由于漏洞PoC完全公开黑产武器化已经完成。目前市面上已经出现批量扫描、批量利用、自动植马的整合工具针对政企内网的定向攻击已经开始落地漏洞的在野利用规模会持续扩大。6 全网可直接复用LegacyHive漏洞检测脚本完整源码针对该漏洞安全研究员Kevin Beaumont公开了专属检测脚本可精准扫描终端是否存在异常Hive挂载、注册表篡改痕迹、漏洞利用残留特征。我将脚本完整优化、汉化适配、适配全Windows版本可直接复制运行无需二次修改。脚本支持本地单设备检测、内网批量检测自动输出风险结果。# LegacyHive 漏洞专项检测脚本 | 适配Windows全版本# 功能检测ProfSvc异常Hive挂载、管理员注册表异常篡改、漏洞利用痕迹# 运行权限普通用户/管理员均可建议管理员权限运行# 作者Kevin Beaumont | 优化适配安全运维专栏Write-Host LegacyHive 零日提权漏洞检测工具 开始扫描 -ForegroundColor Cyan# 1. 检测ProfSvc服务异常运行日志$profSvcLogGet-WinEvent-FilterHashtable {LogNameSystem;ProviderNameUser Profile Service}-ErrorAction SilentlyContinue|Where-Object{$_.Message-matchmount|load|hive}if($profSvcLog){Write-Host[高危] 检测到ProfSvc存在异常注册表Hive加载记录-ForegroundColor Red$profSvcLog|Format-TableTimeCreated,Message-AutoSize}else{Write-Host[正常] 未发现ProfSvc异常Hive加载日志-ForegroundColor Green}# 2. 检测当前用户ClassesRoot是否挂载管理员配置$adminSIDGet-WmiObject-ClassWin32_UserAccount-FilterLocalAccountTrue and AdminPrivilegesTrue-ErrorAction SilentlyContinue|Select-Object-ExpandProperty SIDforeach($sidin$adminSID){$regPathHKCU:\Software\Classes\$sidif(Test-Path$regPath){Write-Host[高危] 检测到当前用户挂载管理员SID注册表节点$sid-ForegroundColor Red}}# 3. 检测usrclass.dat异常修改时间$userProfile$env:USERPROFILE$usrClassPath$userProfile\AppData\Local\Microsoft\Windows\usrclass.datif(Test-Path$usrClassPath){$fileTime(Get-Item$usrClassPath).LastWriteTime$currentTimeGet-Date$timeDiff$currentTime-$fileTimeif($timeDiff.Hours-lt24){Write-Host[警告] 近24小时存在usrclass.dat注册表文件修改记录-ForegroundColor Yellow}else{Write-Host[正常] usrclass.dat文件无近期异常修改-ForegroundColor Green}}# 4. 检测异常注册表启动配置$malRegPath (HKCU:\Software\Classes\exefile\shell\open\command,HKCU:\Software\Classes\batfile\shell\open\command,HKCU:\Software\Microsoft\Windows\CurrentVersion\Run)foreach($pathin$malRegPath){if(Test-Path$path){$regDataGet-ItemProperty$path-ErrorAction SilentlyContinueif($regData){Write-Host[提示] 检测启动项注册表配置$path-ForegroundColor Gray$regData}}}Write-Host LegacyHive 漏洞检测扫描完成 -ForegroundColor CyanWrite-Host风险判定出现红色提示即存在漏洞利用痕迹请立即隔离设备并排查溯源-ForegroundColor Yellow脚本使用方法以管理员身份打开PowerShell复制全部代码直接运行无需配置环境、无需安装组件。红色输出内容为高危风险项代表设备已被漏洞利用或存在异常挂载黄色为预警项需要人工复核绿色为正常状态。批量部署建议企业可通过域策略、EDR终端管控、批量脚本推送工具将该脚本推送到全网终端与服务器完成全网资产批量检测快速定位风险设备。7 企业全方位防御配置方案落地可执行在微软官方补丁发布前所有Windows设备无原生防护能力必须通过人工配置安全策略、收紧权限、开启审计、强化监控的方式构建临时防护体系。以下方案均经过实测适配兼容Windows全版本不影响业务运行可直接批量落地。7.1 账号权限收紧封堵基础攻击入口该漏洞的前置条件为低权限账号驻留收紧本地账号权限可以最大程度缩小攻击面。企业需要禁止普通本地用户创建新账号、禁止普通用户修改系统配置、限制用户注册表操作权限。通过本地安全策略将普通用户的“创建用户账户”“修改用户配置文件”“修改注册表权限”权限全部禁用。域环境下可通过组策略统一配置全网终端一键生效避免单设备配置遗漏。同时清理内网闲置账号、僵尸账号、临时账号减少低权限账号攻击入口。7.2 ProfSvc服务行为监控与告警配置所有漏洞利用行为都会触发ProfSvc的非常规Hive加载操作开启系统日志监控可实时捕捉攻击行为。在事件查看器中开启User Profile Service详细日志重点监控事件ID为1000、1001、1500的服务加载日志。对接SIEM、防火墙、EDR等安全设备配置自定义告警规则一旦监测到ProfSvc跨用户SID加载注册表Hive、非工作时间异常挂载usrclass.dat、单设备短时间多次触发注册表加载事件立即触发告警并阻断操作。7.3 注册表审计策略强制开启系统默认关闭注册表关键路径审计攻击者篡改注册表无日志记录无法溯源攻击行为。需要手动开启ClassesRoot、用户配置注册表路径的审计功能记录所有读写、修改、挂载操作。组策略定位至「计算机配置-安全设置-本地策略-审计策略」开启「审计对象访问」配置对 HKEY_CURRENT_USER\Software\Classes、C:\Users\*\AppData\Local\Microsoft\Windows\usrclass.dat 路径的全量审计记录所有用户的操作行为实现攻击可追溯。7.4 管理员账号登录管控策略漏洞最终触发依赖管理员账号登录收紧管理员登录场景可以直接阻断攻击闭环。禁止管理员账号在普通员工终端、陌生终端、外网终端登录系统通过域策略绑定管理员账号登录设备白名单。同时开启管理员账号登录多因素认证、登录日志审计、异地登录告警杜绝恶意终端触发注册表恶意代码执行。日常运维采用临时登录、最小权限运维模式减少管理员账号常驻登录场景。7.5 终端安全软件自定义规则加固现有杀毒软件、EDR暂无该漏洞的专属防护规则需要手动添加自定义防护策略。配置规则拦截普通用户权限下ProfSvc加载非自身SID对应的usrclass.dat文件、拦截低权限用户修改ClassesRoot核心注册表路径、拦截非常规注册表挂载行为。8 漏洞攻击架构全景复盘技术架构图为方便安全团队整体理解漏洞攻击架构、梳理防护边界通过架构图展示漏洞各层级的权限突破、组件调用、攻击落地逻辑清晰区分正常业务流程与漏洞异常流程。A[低权限普通用户] -- B[调用LegacyHive PoC]B -- C[触发ProfSvc兼容加载接口]C -- D{系统权限校验}D – 正常流程 -- E[仅加载当前用户Hive]D – 漏洞异常流程 -- F[绕过校验 加载管理员usrclass.dat]F -- G[挂载至当前用户ClassesRoot]G -- H[低权限用户篡改管理员注册表]H -- I[管理员登录触发恶意代码]I -- J[获取SYSTEM系统权限]J -- K[内网横向移动/数据窃取/权限维持]从整体架构可以清晰看出漏洞的核心突破点在于系统兼容接口的权限校验失效这是所有防护策略需要重点聚焦的核心节点。所有临时防御方案本质都是围绕“阻止异常Hive加载、监控异常注册表修改、阻断恶意代码触发”三个核心场景落地。9 企业应急处置流程已中招设备处理方案如果通过检测脚本发现设备存在漏洞利用痕迹需要按照标准化应急流程处置避免二次沦陷、内网扩散。首先立即隔离风险设备断开内网与外网连接防止攻击者利用该设备进行横向移动感染更多终端与服务器。其次清空异常注册表配置删除陌生COM组件、异常启动项、恶意协议关联配置还原ClassesRoot注册表默认权限清理非授权挂载的管理员SID节点。同时删除系统临时目录、用户目录下的陌生可疑程序、脚本文件。然后重置该设备所有账号密码尤其是管理员账号密码排查账号是否存在异地登录、暴力破解、持久化后门。全程留存系统日志、注册表操作日志、服务运行日志完成攻击溯源与取证。最后对全网同版本设备进行二次批量检测排查是否存在批量利用情况同步更新全网防护策略加固权限管控与审计规则避免同类攻击再次发生。10 总结与行业风险预判LegacyHive漏洞的危害远超普通月度漏洞它暴露了Windows底层兼容架构的固有安全缺陷。全版本通杀、无补丁防护、PoC公开、低门槛利用、底层权限突破的特性让该漏洞成为现阶段黑产重点利用的高危武器。短期之内微软无法推送根治性补丁企业安全团队必须依靠自主防护策略抵御风险。该漏洞的最大隐患不在于单次提权而在于可复用的权限突破原语。未来大概率会出现更多衍生攻击工具结合内网渗透、木马持久化、凭证窃取等技术形成成套的攻击体系对政企内网安全造成长期威胁。常态化的终端检测、权限收紧、日志审计、行为监控会成为未来一段时间Windows终端安全的核心工作。互动讨论1. 你的企业是否已经完成全网Windows设备的LegacyHive漏洞批量检测是否发现异常利用痕迹2. 针对无补丁零日漏洞你所在团队通常采用哪些临时防护方案欢迎在评论区交流落地经验。