LegacyHive는 아직 CVE가 부여되지 않았고 설치할 벤더 패치도 없는 Windows 권한 상승 제로데이입니다. 완전히 패치된 시스템에서도 동작하는 공개 PoC까지 나와 있습니다. 평소라면 취약점 패치를 적용해 대응하겠지만, 이번에는 아직 설치할 수정 사항이 없습니다. 패치를 기다리는 동안에는 권한 작업이 실행되는 시점에 이를 통제할 수 있는 다른 방어 계층이 필요합니다. 탐지 도구와 최소 권한 원칙도 계속 중요합니다. 달라진 점은 패치가 나오기 전까지 이 통제들이 사실상 주요 방어 수단이 된다는 것입니다.
LegacyHive Windows 제로데이란 무엇인가
요약: LegacyHive Windows 제로데이는 User Profile Service에 있는 미패치 결함입니다. 일반 사용자가 classes 레지스트리 하이브를 마운트하고 수정해 두면, 다음번에 관리자가 그 시스템에 로그인할 때 코드가 관리자 컨텍스트에서 실행됩니다.
LegacyHive는 Windows User Profile Service에 존재하는 미패치 취약점입니다. 'Nightmare Eclipse'라는 이름을 사용하는 연구자가 2026년 7월 17일 PoC를 공개했습니다. 관리자 권한이 없는 일반 사용자는 대상 사용자의 레지스트리 하이브를 현재 사용자의 Classes 루트에 마운트한 뒤, Classes 레지스트리 하이브를 수정할 수 있습니다. 이 과정에서 심은 코드는 다음에 관리자 계정이 해당 시스템에 로그인할 때 관리자 컨텍스트에서 자동으로 실행됩니다. 공개된 PoC에는 의도적인 제한이 적용돼 있습니다. 실행하려면 다른 일반 사용자의 자격증명과 세 번째 사용자 이름이 필요하므로, 곧바로 무기화하기는 어렵습니다. 그러나 핵심은 PoC의 사용 편의성이 아니라 취약점 자체입니다. Will Dormann(Tharros)도 영향을 확인했습니다.
이 취약점이 즉시 관리자 권한을 제공하는 것은 아닙니다. 공격자가 코드를 심은 뒤 다음 관리자 로그인을 기다려야 합니다. 공용으로 사용하거나 중앙에서 관리하는 시스템이라면 관리자 로그인이 다시 발생할 가능성이 높습니다. 이런 환경에서는 발동 여부보다 시점의 문제에 가깝습니다.
패치를 기다리는 방식이 왜 통하지 않는가
LegacyHive에는 아직 CVE ID가 부여되지 않았습니다. Microsoft는 "적극적으로 조사 중"이라고 밝혔지만, 현재 배포할 수 있는 수정 사항은 없습니다. PoC는 2026년 7월 Patch Tuesday가 진행된 지 몇 시간 뒤에 공개됐습니다. 따라서 패치 관리가 잘 된 최신 Windows 시스템에서도 동작합니다.
이 상황에서는 일반적인 패치 관리 절차만으로 대응하기 어렵습니다. 추적할 CVE 식별자가 없고, 배포 일정을 잡을 패치가 없으며, 시스템을 최신 상태로 유지해도 취약점이 남습니다. 패치를 기다리는 대응은 설치할 수정 사항이 존재한다는 전제에서 작동합니다. LegacyHive에는 아직 그 전제가 성립하지 않습니다. 공개 과정과 기술적 세부 내용은 BleepingComputer의 보도에서 확인할 수 있습니다.
패치가 없을 때 집행 지점은 어디인가
패치 배포 일정에 영향을 받지 않는 통제 중 하나는 실행 계층에 있습니다. 고위험 권한 작업이 실행되는 시점에 이를 평가하고, 사람의 승인을 기다리게 하거나 거부하는 방식입니다. 필요할 때만 권한을 부여하고 자동으로 만료시키는 JIT 세션도 권한이 유지되는 시간과 피해 범위를 줄이는 데 도움이 됩니다.
다만 LegacyHive와 관련해 실행 제어가 담당할 수 있는 범위를 정확히 구분해야 합니다. LegacyHive의 페이로드는 Alpacon을 통해 전달되는 명령으로 실행되는 것이 아닙니다. 다음 관리자 로그인 시 Windows 내부 동작을 통해 발동합니다. 따라서 Alpacon의 런타임 계층이 이번 공격 자체를 가로막지는 못했을 것입니다. 여기서 설명하려는 대상은 LegacyHive와 같은 취약점이 나타났을 때도 여전히 통제할 수 있는 권한 작업입니다. 운영자나 AI 에이전트가 통제된 세션을 통해 인프라에 명령을 실행하는 경우에는 패치가 없어도 런타임 거버넌스를 적용할 수 있습니다. Alpacon은 기본적으로 모든 권한 작업을 모니터링하고 기록합니다. Enforcement는 배포 환경에서 선택적으로 활성화합니다. 현재 적용 방식은 monitor-then-enforce입니다. 실제 동작을 먼저 관찰한 뒤 차단 정책을 적용하며, 에이전트 세션부터 순차적으로 도입하고 있습니다. 현재 베타 단계이고 아직 GA는 아닙니다.
Enforcement가 활성화된 환경에서는 런타임 명령 검증을 통해 고위험 권한 작업을 실행 전에 사람 승인자에게 전달하거나, 정책에 따라 즉시 거부할 수 있습니다. 이 판단에는 CVE 시그니처가 필요하지 않습니다. 어떤 취약점을 이용하는지를 식별하는 대신, 실행하려는 작업 자체의 위험을 평가하기 때문입니다.
JIT 방식의 자동 만료 세션은 권한 작업이 가능한 시간도 제한합니다. 권한이 상시 유지되지 않으면 시스템이 다음 관리자 로그인을 기다리는 동안 장기간 높은 권한을 노출하는 상황을 줄일 수 있습니다. 세션이 끝나면 접근 권한도 함께 회수됩니다. 런타임 명령 통제와 JIT 세션 모두 벤더가 패치를 출시해야만 작동하는 방어 수단은 아닙니다. LegacyHive 하나만을 막기 위한 대책은 아닙니다. CVE나 패치가 준비되기 전에 공개되는 취약점이 반복될 때, 통제된 경로를 통해 수행되는 권한 작업의 위험을 줄이기 위한 운영 방식입니다.
정리하며
LegacyHive도 언젠가는 CVE를 받고 패치도 나올 것입니다. 그러면 다음번 패치 없는 제로데이가 다시 시계를 처음부터 돌릴 겁니다. 두 경우 모두에서 살아남는 집행 지점은 벤더의 일정을 기다리는 쪽이 아니라 권한 작업을 실행되는 순간에 판단하는 쪽입니다.
