LegacyHive: El Zero-Day Sin Parche en Windows que Permite a Cualquier Empleado Convertirse en Administrador del Sistema

Si tu empresa usa Windows —y la gran mayoría de las PyMEs mexicanas lo hace— necesitas conocer LegacyHive ahora mismo. Se trata de un zero-day sin parche oficial que afecta a todas las versiones actuales de Windows, desde Windows 10 hasta Windows Server 2025, y que ya tiene un exploit público disponible. Esto significa que cualquier empleado con acceso básico a una computadora de la empresa podría, en cuestión de minutos, obtener control total del sistema.

LegacyHive es una vulnerabilidad de escalada de privilegios local (LPE) descubierta por el investigador conocido como "Nightmare Eclipse" y publicada en julio de 2026. El fallo reside en el Servicio de Perfil de Usuario de Windows (ProfSvc), un componente que opera con los máximos privilegios del sistema (SYSTEM) y que es responsable de cargar los perfiles de usuario al iniciar sesión.

El ataque funciona engañando a este servicio para que cargue un archivo de registro (hive) arbitrario —como el perfil de un administrador— dentro del espacio de registro del atacante. El resultado: un usuario sin privilegios obtiene acceso a datos y configuraciones que normalmente solo el administrador puede ver y modificar.

Lo que hace especialmente crítica esta vulnerabilidad para las PyMEs es que:

• No existe parche oficial de Microsoft hasta la fecha de publicación de este artículo
• Afecta a Windows completamente actualizado — no basta con tener las últimas actualizaciones instaladas
• El exploit es público — cualquier persona con conocimientos básicos puede descargarlo y usarlo
• Es especialmente peligroso en entornos compartidos: servidores de terminal, equipos de trabajo compartidos, y sistemas de punto de venta (POS) que usan múltiples empleados

Imagina este escenario: un empleado descontento, un proveedor externo con acceso temporal, o incluso un atacante que ya logró entrar a tu red con credenciales robadas mediante phishing. Con LegacyHive, cualquiera de ellos puede escalar sus privilegios a SYSTEM en cuestión de minutos, sin necesidad de contraseñas adicionales ni técnicas sofisticadas.

Una vez con privilegios de SYSTEM, el atacante puede:

• Instalar ransomware o malware sin restricciones
• Robar todas las contraseñas almacenadas en el sistema
• Acceder a archivos cifrados y datos confidenciales de clientes
• Crear cuentas de administrador ocultas para mantener acceso persistente
• Deshabilitar el antivirus y otras herramientas de seguridad

Dado que Microsoft aún no ha lanzado una corrección oficial, la protección debe enfocarse en medidas de detección y contención:

• Monitoreo de comportamiento: Configurar alertas para cargas inusuales de archivos de registro por parte de `svchost.exe` (el proceso que aloja ProfSvc) que no correspondan a inicios de sesión normales
• Control de aplicaciones: Implementar políticas de control de aplicaciones (como Windows Defender Application Control o AppLocker) para evitar la ejecución de binarios no autorizados — el exploit requiere ejecutar código en el sistema
• Principio de mínimo privilegio: Asegurarse de que los empleados solo tengan los permisos estrictamente necesarios para su trabajo
• Reducir cuentas de administrador local: Limitar drásticamente quién tiene privilegios de administrador en los equipos
• Parches no oficiales: El proveedor 0patch ha lanzado un micropatch gratuito que mitiga la vulnerabilidad mientras Microsoft prepara la solución oficial
• Segmentación de red: Aislar sistemas críticos para limitar el movimiento lateral en caso de compromiso

LegacyHive es un recordatorio de que la seguridad no puede depender únicamente de las actualizaciones del fabricante. Para las PyMEs mexicanas, recomendamos actuar de inmediato: