Der Fall Nightmare Eclipse: Wenn ein Disclosure-Streit ungepatchte Zero-Days hinterlässt
Eine ganze Welle benannter Windows-Lücken, rechtliche Drohungen gegen Forschende – und am Ende zahlt der Verteidiger
Sicherheitsforschung lebt von einem stillen Pakt: Forschende melden Lücken vertraulich, Hersteller beheben sie, dann wird veröffentlicht. Im Frühjahr 2026 ist dieser Pakt in einem viel beachteten Fall zerbrochen. Ein Forscher unter dem Pseudonym Nightmare Eclipse hat aus Protest gegen Microsofts Umgang mit Bug-Bounty und Offenlegung eine ganze Serie benannter Windows-Zero-Days publik gemacht. Das Ergebnis ist ein Lehrstück darüber, was passiert, wenn das Vertrauensverhältnis zwischen Hersteller und Community kippt – und warum das ein operatives Sicherheitsproblem ist, kein bloßes Branchendrama.
Der unbequeme Kern: Nicht alle dieser Lücken sind gepatcht. Insbesondere RedSun ist Stand Juni 2026 weiterhin offen – eine öffentlich bekannte, auf Microsoft Defender zielende Rechteausweitung ohne Hersteller-Fix.
Die Welle im Überblick
Auffällig ist, dass mehrere dieser Lücken direkt auf den Schutzmechanismus zielen, dem viele blind vertrauen: Microsoft Defender. Wer den Verteidiger ausschaltet, hat freie Bahn.
| Codename | CVE / Typ | Status |
|---|---|---|
| BlueHammer | CVE-2026-33825 · Defender-LPE (TOCTOU-Race, SAM-Zugriff) | Gepatcht (April 2026) |
| RedSun | Defender-LPE (Oplocks + Junction-Swap → SYSTEM) | Ungepatcht |
| UnDefend | Defense Evasion (sperrt Signatur-Dateien, blockiert Reload) | Nur Mitigation |
| YellowKey | CVE-2026-45585 · BitLocker-Bypass (physischer Zugriff) | Gepatcht (Juni 2026) |
| GreenPlasma | CVE-2026-45586 · CTFMON-EoP → SYSTEM | Gepatcht (Juni 2026) |
Berichten zufolge ist die Eskalation nicht beendet: Es kursiert ein weiterer Exploit („RoguePlanet“), der angeblich auch vollständig gepatchte Windows-Systeme treffen soll. Solche Behauptungen sind mit Vorsicht zu bewerten, bis sie unabhängig bestätigt sind – aber sie zeigen die Richtung des Konflikts.
Warum das ein Verteidiger-Problem ist
Eine öffentlich bekannte, aber ungepatchte Lücke ist das Worst-Case-Szenario im Schwachstellenmanagement. Es existiert eine Anleitung, aber kein Fix. Erfahrungsgemäß werden solche PoCs schnell von wenig versierten Akteuren aufgegriffen – beobachtet wurde bereits opportunistische Ausnutzung über wechselnde VPN-Endpunkte, mit einer Tradecraft, die auf rasches Kopieren öffentlicher Exploits hindeutet. Aus einem Forschungsstreit wird so reale Angriffsfläche im Feld.
Der Streit – und warum beide Seiten einen Punkt haben
Die Lage ist nicht schwarz-weiß. Auf der einen Seite haben Forschende ein legitimes Interesse: faire Vergütung, verlässliche Fristen, Anerkennung. Wer sich ignoriert oder schlecht behandelt fühlt, verliert die Motivation zur vertraulichen Meldung. Auf der anderen Seite hat ein Hersteller berechtigte Bedenken gegen vorzeitige Offenlegung und gegen Veröffentlichungen, die als Druckmittel wirken.
Microsoft hat in diesem Fall mit Kontosperren und rechtlichen Drohungen reagiert – und dafür aus der Community deutliche Kritik geerntet, unter anderem von namhaften Stimmen wie Kevin Beaumont und Sicherheitsfirmen wie Huntress, die vor einem Abschreckungseffekt für gutgläubige Forschung warnen. Stand Juni 2026 wurden die Sperren und Drohungen nicht zurückgenommen. Unabhängig davon, wem man im Detail recht gibt: Der Verlierer eines vergifteten Verhältnisses ist am Ende der Anwender, dessen Systeme länger offen bleiben.
Die eigentliche Lehre: Ein funktionierendes, faires Verhältnis zwischen Herstellern und Forschenden ist selbst eine Sicherheitsmaßnahme. Wo es bricht, entstehen genau die ungepatchten, öffentlich bekannten Lücken, die Angreifer am liebsten haben.
Was Sie jetzt tun sollten
- Die gepatchten zuerst schließen. BlueHammer (Defender-Update April), YellowKey und GreenPlasma (Juni-Patchday) sofort einspielen – und beim Defender prüfen, ob die aktuelle Plattformversion wirklich aktiv ist.
- Nicht allein auf eine EDR vertrauen. Mehrere dieser Techniken zielen direkt darauf, Defender auszuhebeln. Defense in Depth heißt: Application Control, Tamper Protection, und ein zweites, unabhängiges Auge auf das Systemverhalten.
- Den Initialzugang verteuern. Es handelt sich größtenteils um lokale Rechteausweitungen – sie brauchen erst einen Fuß in der Tür. Konsequentes Least-Privilege und ein sauberes Tier-Modell begrenzen den Schaden, falls ein Standardkonto fällt.
- Auf die TTPs monitoren. Verdächtige Manipulation von Volume-Shadow-Copies, Directory-Junction-Swaps in System32 oder das gezielte Sperren von Defender-Signatur-Dateien sind erkennbare Muster – wer sie im Ereignisprotokoll sichtbar macht, sieht die Ausnutzung auch ohne Patch.
Fazit
Der Fall Nightmare Eclipse ist mehr als ein Streit zwischen einem Forscher und einem Konzern. Er ist eine Mahnung, dass „gepatcht“ und „sicher“ nicht dasselbe sind, solange der Offenlegungsprozess umstritten ist – und dass Verteidigung sich nicht auf ein einzelnes Produkt verlassen darf, schon gar nicht auf das, das gerade selbst im Visier steht. Wer Initialzugang verteuert, Verhalten überwacht und nicht alles auf eine Karte setzt, bleibt auch dann handlungsfähig, wenn der nächste Zero-Day ohne Fix kommt.
Angriffsmuster sichtbar machen, auch ohne Patch?
Der ISW Sysmon Analyzer macht genau die verräterischen Verhaltensmuster – Shadow-Copy-Manipulation, Junction-Swaps, Eingriffe in Sicherheitsprozesse – im Ereignisstrom sichtbar, und der ISW AD Tier Model Manager begrenzt den Blast-Radius lokaler Rechteausweitungen. Mehr auf isw-adtools.de.