LegacyHive-Exploit: Kritische Lücke in Windows auch nach Patches
Veröffentlicht am: 17.07.2026 um 04:44 Uhr | Redaktion boerse-global.de
Ein Sicherheitsforscher hat eine kritische Schwachstelle in Windows offengelegt – ausgerechnet am Tag des größten Patch-Updates der Microsoft-Geschichte. Der Exploit mit dem Namen LegacyHive zielt auf den Windows-Benutzerprofildienst (ProfSvc) ab und funktioniert selbst auf vollständig gepatchten Systemen.
LegacyHive: Angriff auf die Registry
Der Sicherheitsforscher Nightmare Eclipse machte die Schwachstelle am 15. Juli 2026 öffentlich und veröffentlichte einen Proof-of-Concept (PoC)-Exploit. Das Problem: Eine lokale Rechteausweitung in der Art und Weise, wie Windows Registry-Hives lädt. Ein niedrig privilegierter Benutzer kann fremde Registry-Hives mounten – und so Administratoreinstellungen manipulieren oder auf sensible Daten zugreifen.
Betroffen sind alle aktuellen Versionen von Windows 10, Windows 11 sowie Windows Server ab 2016. Der veröffentlichte Exploit-Code wurde bewusst abgespeckt, um Missbrauch zu erschweren. Aktuellen Erkenntnissen zufolge benötigt der Angriff gültige Benutzerdaten und die Kenntnis eines zweiten Kontos auf dem System.
Es ist bereits der neunte Exploit, den Nightmare Eclipse veröffentlicht hat. Zu seinen früheren Arbeiten gehören Schwachstellen wie BlueHammer, RedSun, UnDefend, GreenPlasma, RoguePlanet, YellowKey und GreatXML. Microsoft hat LegacyHive bislang weder offiziell bestätigt noch eine CVE-Nummer vergeben.
Rekord-Patchday bei Microsoft
Die Veröffentlichung von LegacyHive fiel mit dem Juli-2026-Patchday zusammen – einem der umfangreichsten in der Firmengeschichte. Microsoft schloss zwischen 570 und 622 Sicherheitslücken, fast dreimal so viele wie im Vormonat.
Rund 60 der behobenen Schwachstellen galten als kritisch, 48 ermöglichten die Ausführung von Schadcode aus der Ferne. Sicherheitsexperten berichten, dass Microsoft KI-Tools wie MDASH und Mythos zur Fehlersuche einsetzte.
Kritische Sicherheitslücken und Update-Fehler verunsichern derzeit viele Windows-11-Nutzer. Wie Sie typische Systemprobleme und Update-Fehler ganz ohne teuren IT-Service selbst beheben, zeigt dieser kostenlose Ratgeber. Windows 11 Probleme jetzt selbst lösen
Drei bereits bekannte oder aktiv ausgenutzte Zero-Day-Lücken wurden ebenfalls geschlossen:
- CVE-2026-56155: Rechteausweitung in Active Directory Federation Services (AD FS) – aktiv ausgenutzt
- CVE-2026-56164: Rechteausweitung in SharePoint Server (CVSS 5.3)
- CVE-2026-50661: BitLocker-Sicherheitsumgehung – bereits der vierte derartige Vorfall binnen fünf Wochen
CISA schlägt Alarm
Die US-Sicherheitsbehörde CISA hat die ausgenutzten AD-FS- und SharePoint-Lücken in ihren Katalog bekannter Schwachstellen (KEV) aufgenommen. Eine dringende Warnung fordert Bundesbehörden auf, SharePoint-Umgebungen zu härten. Drei aktiv ausgenutzte Lücken stehen im Fokus, darunter eine Remote-Code-Ausführung (CVE-2026-45659) und ein Spoofing-Fehler (CVE-2026-32201).
Behörden müssen die Patches innerhalb von drei Tagen einspielen – sonst droht die Extraktion von IIS-Maschinenschlüsseln und die Installation von Schadsoftware.
Update-Stopp für Dell-Rechner
Während die Juli-Updates ausgerollt werden, müssen einige Nutzer warten. Ein Kompatibilitätsproblem mit Intel-Treibern bremst bestimmte Dell-PCs und Windows-11-Geräte mit speziellen Intel-Prozessoren aus. Diese Systeme bleiben vorerst auf älteren Sicherheitsständen.
Wenn Ihr System aufgrund von Hardware-Einschränkungen keine Updates erhält, kann das ein erhebliches Sicherheitsrisiko darstellen. IT-Experten zeigen Ihnen in dieser Gratis-Anleitung einen legalen Weg, wie Sie die Systemanforderungen umgehen und Windows 11 sicher installieren. Kostenlosen Upgrade-Guide für inkompatible PCs sichern
Weitere Gefahren: Netlogon und Defender
Unabhängig davon bestätigten Forscher, dass eine bereits im Mai 2026 geschlossene Netlogon-Lücke (CVE-2026-41089) weiterhin hohes Risiko birgt. Aktive Ausnutzung wurde bis zum 1. Juni 2026 bestätigt. Sicherheitsfirmen warnen: Der unauthentifizierte Remote-Code-Exploit ist auf Domänencontrollern wurmfähig. Zudem wurde eine Race-Condition in Microsoft Defender (CVE-2026-50656) – ebenfalls von Nightmare Eclipse entdeckt – am 9. Juli behoben.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
