Nach den zuletzt veröffentlichten Windows-Schwachstellen unter dem Namen „Chaotic Eclipse“ rückt nun ein weiterer Fall in den Fokus. LegacyHive ist ein technischer Ansatz, der die Rechte eines Nutzer erhöhen kann. Der Proof-of-Concept nutzt eine Schwachstelle im Zusammenspiel von Windows-Komponenten.
Bereits zuvor hatte de Sicherheitsforscher unter dem Namen „Chaotic Eclipse“ mit mehreren Veröffentlichungen für Aufmerksamkeit gesorgt. Sie zeigten, dass selbst vollständig gepatchte Systeme unter bestimmten Umständen angreifbar bleiben können. Das Problem: Der Sicherheitsforscher hinter Chaotic Eclipse (bzw. dem Account MSNightmare) hatte mehrere Schwachstellen an Microsoft gemeldet und erwartete offenbar eine Vergütung über das Microsoft-Bug-Bounty-Programm. Microsoft lehnte eine Zahlung jedoch ab beziehungsweise stufte die Meldungen nicht als bounty-berechtigt ein. Nachdem die Schwachstellen aber veröffentlicht wurden, kommt Microsoft kaum noch mit dem patchen der vermeintlich harmlosen Schwachstellen hinterher. Vielleicht ist das endlich der Moment, in dem Microsoft seine Politik in Sachen Bug-Bounty hinterfragen sollte.
LegacyHive: Neue Proof-of-Concept zur Rechteausweitung
Mit LegacyHive ist nun ein weiterer technischer Ansatz zur Rechteausweitung aufgetaucht, der an diese Entwicklungen anknüpft. Dabei handelt es sich um ein Proof-of-Concept, das eine Schwachstelle im Zusammenspiel von Windows-Komponenten ausnutzt. Im Mittelpunkt steht ein Dienst zur Verwaltung von Benutzerprofilen, über den sich unter bestimmten Bedingungen höhere Zugriffsrechte innerhalb eines Systems erlangen lassen und das auf frisch gepatchten Systemen! Chaotic Eclipse stelle auf GitHub den PoC vor, allerdings ohne zu sehr ins Detail zu gehen. Letztendlich will er keine Angriffsanleitung liefern. Aber spezialisierten Angreifer reichen manchmal diese Hinweise.
Der Ansatz richtet sich nicht gegen externe Schnittstellen, sondern gegen interne Abläufe im Betriebssystem. Das bedeutet, dass ein Angreifer zunächst einen Zugriff auf das System benötigt und diesen anschließend weiter ausbauen kann. Laut aktuellen Berichten ermöglicht die Schwachstelle unter anderem den Zugriff auf Benutzerdaten anderer Konten auch mit erhöhten Rechten. Das ist genau das Vorgang den Cyberangreifer ausnutzen wollen, wenn sie mit gestohlenen Anmeldedaten und niedrigen Rechten in ein System gelangen.
Da es von Microsoft noch keinen Patch für das Problem gibt, will der Sicherheitsforscher Kevin Beaumont mit einer vorübergehenden Problemlösung aushelfen. Er stellt unter Github einige Erkennungsregeln bereit.
Eine Zero-Day-Schwachstelle nach der anderen
Die aktuelle Veröffentlichung reiht sich damit in eine Serie von Sicherheitsfunden ein, die in kurzer Zeit entstanden sind. Seit Frühjahr 2026 wurden mehrere Zero-Day-Schwachstellen veröffentlicht, die verschiedene Komponenten von Windows betreffen und teilweise bereits in realen Angriffen genutzt wurden. Alle diese Hinweise und Belege wurden wohl bei Microsoft als nicht als bounty-berechtigt eingestuft. Genau weiß man das aber nicht.
Bereits veröffentlichte Schwachstellen im Umfeld von Chaotic Eclipse
- BlueHammer – Privilege Escalation in Microsoft Defender, teils bereits aktiv ausgenutzt
- RedSun – weitere Schwachstelle in Defender mit ähnlicher Zielrichtung, ebenfalls für Angriffe relevant
- UnDefend – Angriff auf Schutzmechanismen von Defender, um Erkennung zu umgehen
- YellowKey – Schwachstelle im Zusammenhang mit BitLocker, inklusive veröffentlichter Gegenmaßnahmen
- GreenPlasma / MiniPlasma – weitere lokale Angriffswege zur Rechteausweitung innerhalb von Windows-Systemen
- RoguePlanet – Angriffsmethode, die selbst auf vollständig gepatchten Systemen funktionieren kann