Microsoft behebt den Windows-Zero-Day „LegacyHive“ mit den August-Patches

CVE-2026-62832 ermöglicht lokalen Benutzern den Erwerb von Administratorrechten

Microsoft hat mit den Patch-Tuesday-Updates vom August 2026 die als LegacyHive bekannte Schwachstelle CVE-2026-62832 behoben.

Die Sicherheitslücke betrifft den Windows User Profile Service und den Umgang mit Verknüpfungen beim Dateizugriff. Ein lokal authentifizierter Angreifer mit gültigen Zugangsdaten für ein anderes Konto auf dem System kann eine speziell präparierte Anwendung starten.

Der Exploit ermöglicht es, die Classes-Registrierungshive eines anderen Benutzers zu laden, deren Daten zu lesen oder zu verändern und die automatische Ausführung von Code vorzubereiten, sobald sich ein Administrator am Computer anmeldet. Eine Interaktion des Benutzers ist nicht erforderlich.

Die Auswirkungen können bis zur Erlangung von Administratorrechten reichen.

PoC wurde nach den Juli-Updates veröffentlicht

Die Sicherheitslücke wurde nach dem Patch Tuesday im Juli 2026 öffentlich gemacht. Der unter dem Namen Nightmare Eclipse bekannte Sicherheitsforscher veröffentlichte wenige Stunden nach den Updates einen Proof-of-Concept-Exploit und kritisierte dabei Microsofts Verfahren für Bug-Bounty-Programme und die Offenlegung von Schwachstellen.

Microsoft schreibt die Meldung formell einem anonymen Forscher zu und erkennt Nightmare Eclipse nicht als Entdecker der Sicherheitslücke an.

Der PoC erfordert zusätzliche Zugangsdaten im Vergleich zu anderen Exploits, die derselbe Forscher veröffentlicht hat. Dadurch lässt er sich weniger einfach in ein einsatzfähiges Angriffswerkzeug umwandeln, das Risiko bleibt jedoch bestehen: Der Sicherheitsexperte Kevin Beaumont bestätigte die Funktionsfähigkeit.

Beaumont veröffentlichte am Tag nach der Verbreitung des Codes außerdem Erkennungsabfragen für Microsoft Defender for Endpoint (MDE).

Wer ist betroffen und welche Systeme müssen aktualisiert werden?

Betroffen sind Microsoft-Windows-Systeme, die den Windows User Profile Service und die Classes-Registrierungshive enthalten. Das Briefing nennt keine detailliertere Liste der betroffenen Builds.

Administratoren sollten die offiziellen Patch-Tuesday-Updates vom August 2026 installieren, mit denen CVE-2026-62832 behoben wird. Darüber hinaus empfiehlt es sich:

• die Verwendung gültiger lokaler Zugangsdaten einzuschränken und zu überwachen;
• Änderungen an Registrierungs-Hives zu kontrollieren;
• die verfügbaren LegacyHive-Erkennungsabfragen für Microsoft Defender for Endpoint anzuwenden;
• verdächtige Aktivitäten im Zusammenhang mit dem Laden der Hive eines anderen Benutzers zu überprüfen.

Auch inoffizielle 0Patch-Patches verfügbar

ACROS Security hat am 20. Juli über 0Patch kostenlose inoffizielle Patches für folgende Systeme bereitgestellt:

• Windows 10 Version 2004 oder höher;
• Windows Server 2022 oder höher.

Diese Maßnahmen können vorübergehend Schutz bieten, ersetzen jedoch nicht das Microsoft-Update, sobald dieses verfügbar ist.

LegacyHive gehört zu einer Reihe von Zero-Days, die Nightmare Eclipse seit April 2026 veröffentlicht hat: ShieldBreak, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma und UnDefend. Die Schwachstellen betreffen Microsoft Defender, BitLocker und weitere Windows-Komponenten. Microsoft hat YellowKey, GreenPlasma und MiniPlasma bereits im Juni 2026 sowie RoguePlanet im Juli 2026 behoben; für die übrigen Schwachstellen ist bislang kein offizieller Patch verfügbar.