米マイクロソフトの基本ソフト（OS）「Windows」に、まだ修正されていない深刻なゼロデイ脆弱性（ぜいじゃくせい、未対策のセキュリティ上の欠陥）「LegacyHive」が見つかりました。一般ユーザーの権限しか持たない攻撃者が、管理者（アドミニストレーター）権限を乗っ取れる恐れがあり、専門家が警戒を呼びかけています。
パッチ公開当日に登場
この欠陥は、Windowsの「ユーザープロファイルサービス」に存在する権限昇格（けんげんしょうかく、低い権限から高い権限を奪う攻撃）のバグです。攻撃者グループ「ナイトメア・エクリプス（Nightmare Eclipse）」が、2026年7月の月例セキュリティ更新（パッチチューズデー）の当日に公開しました。
機密情報の窃取や不正実行が可能に
技術的には、管理者権限を持たない一般ユーザーが、他人のレジストリ「ハイブ」（Windowsの設定情報を格納する領域）を完全アクセス状態で読み込めてしまう点が問題です。これにより、管理者が保存したパスワードなどの機密情報を抜き取ったり、管理者が次回ログインした際に不正なプログラムが自動実行されるよう設定を書き換えたりすることが可能になります。
公式修正はまだ、非公式パッチが先行
マイクロソフトはまだ脆弱性を識別する「CVE番号」の割り当ても、正式な修正プログラムの提供も行っていません。一方で、セキュリティ企業ACROS Securityが運営する「0Patch」プラットフォームが、非公式ながら無料の応急修正（マイクロパッチ）を先行して配布しています。実証コードは最新の7月更新済みのシステムでも動作するとされ、公式パッチが出るまでの間は注意が欠かせません。
日本への影響
Windowsは日本の官公庁や企業で圧倒的なシェアを持つOSであり、今回の脆弱性は日本の組織にとっても現実的な脅威です。とりわけ社内の一般利用者アカウントが乗っ取りの入り口になり得るため、外部からの侵入だけでなく、内部からの権限奪取という経路にも備える必要があります。金融機関や自治体など、機密情報を扱う組織ほど早急な対応が求められます。
具体的な対策として、企業のシステム管理者は0Patchなどの非公式修正の適用可否を検討するとともに、マイクロソフトの正式パッチが出た際にはただちに適用できる体制を整えておくことが重要です。個人の読者も、身に覚えのないソフトを安易にインストールしない、多要素認証を有効にするといった基本を徹底することで、被害の連鎖を防ぐ一助になります。公式修正が出るまでは、不審な挙動がないか一段の警戒を続ける必要があります。
まとめ：正式な修正がまだ存在しないゼロデイは、最も油断できないリスクの一つです。日本の企業も個人も、情報収集と基本的な備えを怠らないようにしていきたいところです。
出典:
BleepingComputer – Windows LegacyHive zero-day flaw gets free, unofficial patches
SecurityWeek – Nightmare Eclipse Drops ‘LegacyHive’ Windows Zero-Day
Photo: Nathana Rebouças / Unsplash
