Ein Sicherheitsforscher hat einen neuen Exploit für Windows veröffentlicht, der es Angreifern erlaubt, sich höhere Systemrechte zu verschaffen. Der unter dem Namen Chaotic Eclipse beziehungsweise Nightmare-Eclipse bekannte Forscher nennt seine Entdeckung "LegacyHive". Betroffen ist der Windows User Profile Service, kurz ProfSvc, der im Hintergrund für die Verwaltung von Benutzerkonten und -umgebungen zuständig ist.

Laut der Beschreibung des Forschers handelt es sich um eine Schwachstelle, die das gezielte Laden fremder Registry-Hives ermöglicht und damit zu einer Rechteausweitung führt. Besonders brisant: Der Fehler betrifft alle unterstützten Desktop- und Server-Versionen von Windows – und das selbst nach Installation der jüngsten Juli-2026-Patches.

Wie der Angriff funktioniert

Für den veröffentlichten Proof-of-Concept braucht ein Angreifer die Zugangsdaten eines weiteren Standardnutzers sowie einen dritten Benutzernamen, der auch einem Administratorkonto gehören kann. "Wenn der PoC erfolgreich ist, wird am Ende die Hive des Zielbenutzers im Classes-Root des aktuellen Nutzers eingebunden", schreibt Chaotic Eclipse in seinem öffentlichen Repository.

Technisch gesehen kommt dabei keine klassische Speicherkorruption zum Einsatz. Stattdessen missbraucht der Exploit die Logik des Profil-Ladevorgangs selbst, indem er laut Sicherheitsanalysen drei Mechanismen kombiniert: eine Offline-Manipulation einer Registry-Hive, eine Umleitung über symbolische Links im Object Manager und einen synchronisierten Ladevorgang des Profils.

Der Forscher betont zudem, dass die veröffentlichte Version des Codes bewusst abgespeckt wurde. Die ursprüngliche Fassung habe weder zusätzliche Zugangsdaten benötigt noch sei sie auf die Hive-Datei "usrclass.dat" beschränkt gewesen. "Jede beliebige Hive ließe sich über diese Schwachstelle laden, man bräuchte nur ein paar Gehirnzellen, um den PoC dazu zu bringen", so der Forscher wörtlich.

Kein CVE, kein Update

Bislang gibt es weder eine offizielle CVE-Nummer noch eine Sicherheitswarnung oder ein Update von Microsoft zu LegacyHive. Der Konzern hat sich zu der Veröffentlichung öffentlich nicht geäußert.

Das ist kein Einzelfall: Der Forscher hat seit April 2026 bereits mehrere Windows-Schwachstellen ohne vorherige, koordinierte Abstimmung mit Microsoft veröffentlicht, darunter die inzwischen mit CVE-Nummern versehenen und gepatchten Lücken BlueHammer, RedSun und UnDefend. Mehrere dieser früheren Funde wurden Berichten zufolge bereits aktiv für Angriffe ausgenutzt.

Diese Veröffentlichungspraxis sorgt in der Sicherheitscommunity für Diskussionen. Während manche die schnelle, öffentliche Offenlegung als Druckmittel gegenüber Microsoft begrüßen, warnen andere davor, dass ungepatchte Exploits Kriminellen unmittelbar in die Hände spielen könnten.

Risiko für Unternehmen

Für eine erfolgreiche Ausnutzung benötigt ein Angreifer bereits lokalen Zugriff auf ein System, ein reiner Fernzugriff reicht nicht aus. Dennoch gelten Rechteausweitungs-Lücken wie LegacyHive in der Praxis als wertvoller Baustein, um aus einem begrenzten Erstzugriff volle administrative Kontrolle über ein System zu erlangen.

Sicherheitsteams wird deshalb geraten, den User Profile Service auf ungewöhnliche Hive-Ladevorgänge zu überwachen und verdächtige Registry-Aktivitäten unterhalb der Classes-Root-Bereiche im Blick zu behalten. Sobald Microsoft eine offizielle Korrektur bereitstellt, sollte diese zeitnah eingespielt werden.