Windows’ta keşfedilen LegacyHive isimli yeni bir sıfır gün (zero-day) güvenlik açığı için henüz Microsoft tarafından resmi bir güvenlik güncellemesi yayınlanmadı. Buna karşın 0Patch platformunun geliştiricisi ACROS Security, etkilenen sistemleri korumaya yönelik ücretsiz bir mikro yama yayınladı. Güvenlik araştırmacıları, açığın yerel kullanıcıların ayrıcalık yükseltmesine olanak tanıyabileceği konusunda uyarıyor.

LegacyHive Açığı Yönetici Yetkisi Elde Etmeye İmkân Tanıyabiliyor

LegacyHive adı verilen güvenlik açığı, “Nightmare Eclipse” takma adını kullanan bir güvenlik araştırmacısı tarafından Windows User Profile Service bileşeninde keşfedildi. Araştırmacı, Microsoft’un Temmuz 2026 Patch Tuesday güncellemelerini yayınladığı gün açığı kamuoyuyla paylaşırken kötüye kullanım riskini azaltmak amacıyla sınırlandırılmış bir kavram kanıtlama (PoC) kodu da yayınladı.

Teknik incelemelerin ardından Tharros’un baş güvenlik açığı analisti Will Dormann, yönetici yetkisine sahip olmayan kullanıcıların LegacyHive açığını kullanarak kayıt defterindeki sınıf (classes) bölümünü değiştirebildiğini açıkladı. Bu yöntem sayesinde saldırganlar, yönetici hesabı sisteme giriş yaptığında otomatik olarak zararlı kod çalıştırabilecek bir senaryo oluşturabiliyor.

Siber güvenlik uzmanı Kevin Beaumont da yayınlanan PoC kodunun çalıştığını doğruladı. Beaumont ayrıca Microsoft Defender for Endpoint kullanıcılarının LegacyHive istismar girişimlerini tespit edebilmesi için özel algılama sorguları paylaştı. Microsoft ise yaptığı açıklamada bildirilen güvenlik açığından haberdar olduğunu ve iddiaların geçerliliğini aktif olarak araştırdığını belirtti. Şirket, etkilenen ürünleri koruyacak resmi güncellemeleri mümkün olan en kısa sürede yayınlamayı hedeflediğini ifade etti.

Microsoft henüz LegacyHive açığına CVE kimliği atamadı ve resmi güvenlik güncellemesini yayınlamadı. Bunun üzerine ACROS Security, 0Patch platformu üzerinden ücretsiz mikro yama dağıtmaya başladı. Şirketin açıklamasına göre güvenlik açığı, standart kullanıcıların başka kullanıcıların kayıt defteri kovanlarını (registry hive) tam erişim yetkisiyle yükleyebilmesine olanak tanıyor. Böylece saldırganlar kayıtlı gizli bilgileri ele geçirebiliyor veya kayıt defterindeki değerleri değiştirerek hedef kullanıcı sisteme giriş yaptığında zararlı kod çalıştırabiliyor.

0Patch tarafından geliştirilen mikro yama ise saldırının başarılı olması durumunda gerçek kullanıcı profilini yüklemek yerine geçici bir kullanıcı profili oluşturuyor. Böylece saldırganın kayıt defteri üzerinde kalıcı değişiklik yapmasının önüne geçiliyor.

ACROS Security, ücretsiz yamaların Windows 10 sürüm 2004 ve sonrası ile Windows Server 2022 ve sonraki sürümler için kullanılabildiğini açıkladı. Mikro yamayı yüklemek isteyen kullanıcıların ücretsiz bir 0Patch hesabı oluşturması ve 0Patch istemcisini kurması yeterli oluyor. Desteklenen sistemlerde yama yeniden başlatma gerektirmeden otomatik olarak uygulanabiliyor.

Nightmare Eclipse son aylarda Microsoft Defender, BitLocker ve çeşitli Windows bileşenlerini etkileyen RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma ile UnDefend gibi birçok sıfır gün güvenlik açığını da kamuoyuna açıklamıştı. Microsoft, bu açıkların bir bölümünü Haziran ve Temmuz 2026 Patch Tuesday güncellemeleri kapsamında kapatırken bazı güvenlik açıkları için resmi yamalar henüz yayınlanmış değil.