Kaum hat Microsoft am Dienstag seinen Rekord-Patchday hinter sich gebracht, legt ein Sicherheitsforscher nach: LegacyHive heißt der frische Zero-Day, den „Chaotic Eclipse“ (alias Nightmare-Eclipse) nur Stunden nach dem Update-Marathon veröffentlicht hat — samt fertigem Machbarkeitsbeweis.
UNGLAUBLICH: Fremde Registry im eigenen Konto
Die Lücke sitzt im Windows User Profile Service (ProfSvc) — der Komponente, die beim Anmelden dein Nutzerprofil lädt. Der Trick: Ein normaler Nutzer kann beeinflussen, wo Windows nach der Profildatei UsrClass.dat sucht. So lässt sich die Registry-Struktur eines anderen Kontos unter die eigene laden — der Weg zu höheren Rechten.
Technisch kombiniert der Exploit einen sauber getimten Pfad-Wechsel, eine Umleitung im Object-Manager-Namensraum und das Nachahmen eines anderen Nutzers beim Profil-Laden.
ENTWARNUNG? Der Angriff hat Hürden
Bevor Panik ausbricht: Die öffentliche Version des Exploits ist bewusst entschärft. Sie braucht die Zugangsdaten eines zweiten Standard-Nutzers und den Namen eines dritten Kontos. Der Forscher betont, die Originalversion habe diese Vorbedingungen nicht gehabt. The Register spottete bereits, der als „knochenbrechend“ angekündigte Zero-Day sei nicht der große Hammer geworden.
GEFAHR: Kein CVE, kein Patch
Trotz der Schwere hat die Lücke bislang keine CVE-Nummer, keine Microsoft-Meldung und keinen offiziellen Fix. Der Machbarkeitsbeweis funktioniert laut Autor auf allen unterstützten Windows-Desktop- und Server-Versionen, die die Juli-2026-Updates erhalten haben.
FAZIT: Beobachten statt hektisch werden
Für dich als Privatnutzer ist das Risiko überschaubar — der Angreifer braucht bereits ein Konto auf deinem System. In Unternehmen mit vielen Nutzern auf einer Maschine ist die Lage ernster. Dort lohnt es, ungewöhnliche Profil-Ladevorgänge und neu auftauchende Konten im Auge zu behalten, bis Microsoft nachbessert.