Kaum ist der Juli-Patchday durch, sorgt ein neuer Windows Zero-Day namens LegacyHive für Unruhe. Der Fehler steckt im Windows-Dienst für Benutzerprofile und erlaubt einem ganz normalen Standardkonto, die Registry-Struktur eines anderen Nutzers zu übernehmen – inklusive der eines Administrators. Ein offizieller Patch von Microsoft fehlt bislang. Deshalb lohnt sich ein nüchterner Blick auf das, was wirklich belegt ist.
Was der Windows Zero-Day LegacyHive genau macht
Die Schwachstelle sitzt im User Profile Service. Über sie kann ein Benutzer ohne besondere Rechte die Registry-Hive eines fremden Kontos im Vollzugriff einhängen (mounten). Danach lassen sich zwei Dinge tun: gespeicherte Geheimnisse des Opfers auslesen oder Registry-Werte so verändern, dass beim nächsten Anmelden des Opfers eigener Code startet. Zielt der Angreifer auf ein Administratorkonto, wird aus einem einfachen Nutzer schnell ein Konto mit hohen Rechten.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Wichtig für die Einordnung: Es handelt sich um eine lokale Rechteausweitung, nicht um einen Angriff aus dem Internet. Ein Angreifer braucht also bereits ein gültiges Standardkonto auf dem System. Für Mehrbenutzer-Rechner, Terminalserver und geteilte Arbeitsplätze ist das trotzdem heikel.
Kein CVE, aber ein öffentlicher Proof-of-Concept
Der Proof-of-Concept wurde am 14. Juli 2026 von einem Forscher veröffentlicht, der unter dem Namen Nightmare-Eclipse auftritt. Bemerkenswert: Der Lücke ist bislang keine CVE-Nummer zugewiesen. Der Exploit funktioniert nach übereinstimmenden Berichten auf vollständig aktualisierten Systemen mit Stand Juli 2026 – die regulären Updates aus dem Microsoft-Patchday im Juli 2026 schließen sie also nicht. Zur Einordnung gehört aber: Der öffentlich veröffentlichte PoC ist nach Analysen bewusst abgespeckt und mountet die fremde Hive zunächst nur lesend. Der volle Weg bis zur Code-Ausführung setzt zusätzliche Bedingungen voraus – sofort waffenfähig ist der frei verfügbare Code also nicht.
Welche Systeme betroffen sind
Nach den vorliegenden Analysen betrifft LegacyHive Windows 10 ab Version 2004 und neuere Ausgaben sowie neuere Windows-Server-Versionen ab Server 2019. Ältere Systeme vor Windows 10 2004 beziehungsweise vor Server 2019 sind laut den Berichten nicht angreifbar. Wer moderne Windows-Clients im Einsatz hat, gehört damit zur Zielgruppe.
Micropatch statt offizieller Fix
Weil Microsoft noch keinen Patch liefert, hat der Drittanbieter 0patch am 20./21. Juli 2026 kostenlose Micropatches bereitgestellt. Der Ansatz ist pragmatisch: Der Micropatch lenkt den Exploit auf eine temporäre Profil-Hive um, statt Zugriff auf die eigentliche Administrator-Hive zuzulassen. So kommt der Angreifer nicht mehr an die sensiblen Daten des Zielkontos.
Wer nicht auf einen offiziellen Fix warten will, sollte folgende Punkte prüfen:
- Betroffene Windows-Versionen inventarisieren, besonders Mehrbenutzer- und Terminalserver.
- Micropatch-Lösungen als Übergangsschutz bewerten und in einer Testumgebung prüfen.
- Standardkonten und lokale Anmeldungen konsequent begrenzen – weniger lokale Nutzer, weniger Angriffsfläche.
- Auf Microsofts nächsten Sicherheitshinweis achten und den offiziellen Patch einspielen, sobald er verfügbar ist.
Einordnung: Kein Weltuntergang, aber ernst zu nehmen
LegacyHive ist kein Fernangriff und keine Massenlücke wie ein offener Server-Dienst. Der Wert für Angreifer liegt in der Kombination: Wer bereits Fuß gefasst hat, kann seine Rechte ausweiten und sich festsetzen. Genau solche Bausteine sind für Ransomware-Gruppen wertvoll. Bis Microsoft nachzieht, gilt das übliche Klartext-Prinzip: Angriffsfläche klein halten, Rechte trennen und den Übergangsschutz bewusst einsetzen.
Quellen
- BleepingComputer: Windows LegacyHive zero-day flaw gets free, unofficial patches
- The Hacker News: Researcher Drops New Windows Zero-Day PoC After Patch Tuesday
- Cybersecurity News: New Windows LegacyHive 0-Day Vulnerability
- The Register: LegacyHive 0-day from Microsoft’s serial tormentor
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden