Nightmare-Eclipse Zero-Day-Angriff: 6 Exploits, 3 weiterhin ungepatcht – Die komplette Chronik

Exploit-Übersicht und Patch-Status

Drei der sechs Schwachstellen wurden bis Ende Mai 2026 gepatcht. Drei blieben ungelöst, wobei MiniPlasma das größte operative Risiko darstellt.

Besonders gefährlich ist MiniPlasma, da ein Standardnutzer auf einem System mit allen aktuellen Mai-2026-Updates SYSTEM-Rechte erlangen kann . Es zielt auf denselben cldflt.sys-Cloud Files-Treiber ab, den bereits BlueHammer attackierte, und nutzt eine zuvor behobene Schwachstelle von 2020, die der Forscher zufolge von Microsoft nie vollständig gepatcht wurde .

Motivation des Forschers: Ein Protest gegen das Microsoft Security Response Center (MSRC)

Der Forscher bezeichnete die Enthüllungen explizit als Vergeltung für die Behandlung durch das MSRC. Aus öffentlichen Stellungnahmen und Berichten geht hervor, dass vorherige private Einreichungen abgewiesen, verschleppt oder mit Forderungen beantwortet wurden, die der Forscher als exzessiv empfand – darunter Berichten zufolge die Aufforderung zur Erstellung eines Videobeweises für den Exploit . Eine wiederholt dem Forscher zugeschriebene Aussage lautet, das MSRC habe gedroht, sein Leben zu ruinieren, und dies auch getan .

Das Timing späterer Veröffentlichungen – direkt nach dem Patch Tuesday – war offenkundig darauf ausgelegt, maximale Aufmerksamkeit und maximalen Druck zu erzeugen. YellowKey und GreenPlasma erschienen am 12. Mai direkt nach Microsofts Mai-Zyklus, MiniPlasma folgte am 17. Mai .

Microsofts Reaktion und die rechtliche Drohung

Am 27. Mai veröffentlichte Microsoft einen Blogpost mit dem Titel „Eine gemeinsame Verantwortung: Kunden durch koordinierte Schwachstellenoffenlegung schützen“ . Der Post:

• Benannte alle sechs Exploits als „nicht verantwortungsvoll offengelegt“ .
• Appellierte an die Sicherheitsgemeinschaft, die Praxis der Coordinated Vulnerability Disclosure (CVD) einzuhalten.
• Enthielt eine versteckte Warnung von Microsofts Digital Crimes Unit, wonach die bewehrte öffentliche Offenlegung rechtliche Konsequenzen nach sich ziehen könnte .

Microsofts Wortwahl verschärfte den Konflikt, löste aber das Kernproblem nicht: Drei Zero-Days blieben ungepatcht. Die Plattformen, die den Code hosteten – GitHub um den 23. Mai herum und GitLab einige Tage später – ergriffen Maßnahmen und sperrten die Konten des Forschers .

Aktive Ausnutzung und institutionelle Alarmstimmung

Bis Mitte April wurden alle drei anfänglichen Defender-Exploits aktiv ausgenutzt. Die Sicherheitsunternehmen Huntress und Barracuda identifizierten Bedrohungsakteure, die den PoC-Code direkt aus öffentlichen GitHub-Repositories entnahmen und Infrastruktur mit russischer Geolokalisierung nutzten .

Die US Cybersicherheitsbehörde CISA reagierte schnell. BlueHammer wurde am 22. April mit einer Patch-Frist bis zum 6. Mai für Bundesbehörden in den KEV-Katalog aufgenommen . RedSun und UnDefend folgten später mit einer Frist bis 3. Juni . Diese Aufnahmen spiegeln tiefe Besorgnis wider: Wenn Sicherheitswerkzeuge selbst zum Angriffsvektor werden, versagen traditionelle Verteidigungsmodelle.

Reaktion der Community: Ein kaputter Offenlegungsprozess

Die Cybersicherheitsgemeinde reagierte mit einem gespaltenen Urteil.

Kritik am Forscher kam von Barracuda, ThreatLocker und LevelBlue, die die Kampagne als gefährlich und kontraproduktiv bezeichneten . Die öffentliche Verbreitung einsatzfähiger Exploits brachte Unternehmensanwender in unmittelbare Gefahr, während kein Patch existierte.

Kritik an Microsoft war ebenso scharf. Viele Forscher merkten an, die ganze Saga hätte durch einen respektvolleren und reaktionsschnelleren MSRC-Prozess vermieden werden können. Die Enthüllungen belebten langjährige Beschwerden neu: langsame Prüfung, undurchsichtige Kommunikation und eine konfrontative Haltung gegenüber Entdeckern, die nicht ins Schema der unternehmenseigenen Bug-Bounty-Programme passen .

Eine bemerkenswerte Dynamik: Microsoft drohte mit rechtlichen Schritten, während drei Exploits ungepatcht blieben – ein Schritt, den Kommentatoren als symbolisch und falsch priorisiert bezeichneten .

Wie geht es weiter?

Der Forscher ist ruhig, aber nicht verstummt. Nach dem Verlust des Plattformzugangs wechselte er auf einen persönlichen Blog und drohte explizit mit einer weiteren massenhaften Veröffentlichung am 14. Juli – dem nächsten Patch Tuesday . Ob diese Drohung glaubhaft ist, bleibt unbekannt, aber das Muster steht.

Für Sicherheitsteams ist die unmittelbare Priorität klar: Installieren Sie die außerplanmäßigen Defender-Patches, setzen Sie die Absicherungen für YellowKey um (Entfernen des autofstx.exe-BootExecute-Werts und Aktivierung von TPM+PIN für BitLocker) und behandeln Sie MiniPlasma als akute Bedrohung ohne offizielle Behebung. Achten Sie auf weitere PoC-Veröffentlichungen zeitlich abgestimmt auf zukünftige Patch Tuesdays und bereiten Sie Kompensationsmaßnahmen für Defender-Komponenten vor, die Angreifer jetzt systematisch ins Visier nehmen.

Die Nightmare-Eclipse-Episode dreht sich nicht nur um sechs Schwachstellen. Sie ist ein Stresstest für das Verhältnis zwischen Plattformanbietern und den Sicherheitsforschern, von denen sie abhängig sind. Wenn dieses Verhältnis zerbricht, sind die Konsequenzen öffentlich, ausnutzbar und gravierend.