Windows LegacyHive 제로데이 취약점 비공식 패치 배포중

최근 공개된 윈도우 제로데이 취약점을 해결하는 비공식 패치가 무료로 제공되고 있습니다.
이번 취약점을 악용하면 공격자가 최신 윈도우 시스템에서 권한을 상승시킬 수 있는 문제가 발생합니다.
이번 취약점(LegacyHive 라고 명명되었으며 추적을 쉽게 하려고 CVE ID는 부여되지 않았음) Nightmare Eclipse이라는 보안 연구원이 Windows 사용자 프로필 서비스에서 발견
Nightmare Eclipse는 마이크로소프트가 2026년 7월 패치 화요일 업데이트를 발표한 날 해당 보안 취약점을 공격에 악용하기 어렵게 만들려고 간소화된 개념 증명 익스플로잇과 함께 공개
PoC를 분석하고 Tharros의 수석 취약점 분석가인 Will Dormann은 관리자가 아닌 사용자도 LegacyHive를 악용하여 클래스 레지스트리 하이브를 수정하고 관리자 계정이 손상된 장치에 로그인할 때 자동으로 코드를 실행할 수 있다고 밝혔습니다.
사이버보안 전문가 케빈 보몬트(Kevin Beaumont) 역시 PoC가 공개된 지 하루 만에 해당 익스플로잇이 작동함을 확인했으며 Microsoft Defender for Endpoint용 LegacyHive 익스플로잇 탐지 쿼리를 공개
마이크로소프트는 보고된 취약점을 인지하고 있으며 해당 주장의 타당성과 잠재적 적용 가능성을 적극적으로 조사하고 있다고 함 즉 마이크로소프트도 인지하고 있음
마이크로소프트는 보안 문제를 조사하고, 영향을 받는 제품을 업데이트하여 고객을 가능한 한 빨리 보호하기 위해 온 힘을 다하고 있습니다.

0patch

무료 비공식 패치 제공

마이크로소프트가 아직 LegacyHive 취약점을 해결하기 위한 CVE-ID를 할당하거나 보안 업데이트를 출시하지는 않았지만 0Patch 사이버보안 플랫폼을 운영하는 ACROS Security에서 이미 비공식 패치를 제공하고 있습니다.
해당 취약점을 통해 일반 비관리자 사용자가 다른 사용자의 레지스트리 하이브를 전체 액세스 모드로 마운트한 뒤 해당 사용자가 저장한 비밀 정보를 추출하거나 레지스트리의 값을 수정하여 다음 로그인 시 실행될 내용을 조작할 수 있습니다 라고 ACROS Security의 CEO 미티아 콜섹(Mitja Kolsek)은 설명
0Patch가 활성화된 상태에서도 해당 익스플로잇은 여전히 작동하는 것처럼 보이지만 관리자 사용자의 레지스트리 하이브 대신 임시 사용자 프로필 하이브를 로드합니다.
임시 사용자 프로필 하이브를 로드하는 것은 공격자에게 아무런 소용이 없습니다.
보안 취약점은 Windows 10 2004 및 Windows Server 2019 이전 버전을 실행하는 시스템에는 영향을 미치지 않으므로 ACROS Security는 Windows 10 2004 이상 및 Windows Server 2022 이상을 위한 마이크로 패치(취약한 코드 부분을 대체하는 코드 명령어를 삽입하는 소형 패치)를 제공

해당 취약점을 통해 일반 비관리자 사용자가 다른 사용자의 레지스트리 하이브를 전체 액세스 모드로 마운트한 뒤 해당 사용자가 저장한 비밀 정보를 추출하거나 레지스트리의 값을 수정하여 다음 로그인 시 실행될 내용을 조작할 수 있습니다 라고 ACROS Security의 CEO 미티아 콜섹(Mitja Kolsek)은 설명
0Patch가 활성화된 상태에서도 해당 익스플로잇은 여전히 작동하는 것처럼 보이지만 관리자 사용자의 레지스트리 하이브 대신 임시 사용자 프로필 하이브를 로드합니다.
임시 사용자 프로필 하이브를 로드하는 것은 공격자에게 아무런 소용이 없습니다.
보안 취약점은 Windows 10 2004 및 Windows Server 2019 이전 버전을 실행하는 시스템에는 영향을 미치지 않으므로 ACROS Security는 Windows 10 2004 이상 및 Windows Server 2022 이상을 위한 마이크로 패치(취약한 코드 부분을 대체하는 코드 명령어를 삽입하는 소형 패치)를 제공
Windows 시스템에 무료 마이크로패치를 설치하려면 0patch 계정을 등록하고 0Patch 에이전트를 설치하면 됩니다. 이를 차단하는 사용자 지정 패치 정책이 없는 경우 에이전트를 실행하고 시스템 재시작 없이 자동으로 배포
나이트메어 이클립스(Nightmare Eclipse)는 최근 몇 달간 마이크로소프트 디펜더(Microsoft Defender), 비트락커(BitLocker) 및 다양한 윈도우 구성 요소의 취약점에 대한 제로데이 익스플로잇을 공개했으며 여기에는 RoguePlanet,BlueHammer,RedSun,YellowKey,GreenPlasma,MiniPlasma,UnDefend 등이 포함 됩니다.
마이크로소프트는 지난달 2026년 6월 패치 화요일(Patch Tuesday) 업데이트를 통해 YellowKey, GreenPlasma, MiniPlasma 취약점을 수정했으며 RoguePlanet 취약점은 7월 보안 업데이트를 통해 해결
하지만, Nightmare Eclipse가 공개한 나머지 보안 문제들은 아직 패치가 나오지 않은 상태입니다. 8월 보안 업데이트에서 공식적으로 해결할 수 있을 것으로 생각되면 아무튼 기본적인 보안 수칙을 잘 지키는 것을 권장합니다.