Microsofts August-Patchday 2026: LegacyHive, ShieldBreak und die Eskalation des Albtraums

Microsoft hat am 11. August 2026 seinen monatlichen Patchday (Patch Tuesday) veröffentlicht und dabei eine gewaltige Anzahl von Schwachstellen geschlossen. Die Schätzungen großer Sicherheitsfirmen schwanken zwischen 398 und 421 behobenen Sicherheitslücken (CVEs), wobei sich die meisten Quellen auf „etwa 400“ einigen . Der Patchday enthielt eine aktiv ausgenutzte Zero-Day, zwei öffentlich bekannt gewordene Zero-Days und rund 62 als kritisch eingestufte Schwachstellen . Nur Stunden nach Veröffentlichung der Patches veröffentlichte der Forscher Nightmare Eclipse einen neuen Exploit namens ShieldBreak, der vorgibt, Microsofts eigenen Patch vom Vormonat zu umgehen .

Das Ausmaß des August-Patchdays 2026

Microsoft schloss zwischen 398 und 421 Schwachstellen in Windows, Office, Azure, Exchange, SharePoint und anderen Produkten . Die Anzahl der CVEs variiert je nach Quelle:

• SANS ISC: 418 CVEs, 62 kritisch
• Tenable: 398 CVEs, 42 kritisch
• CrowdStrike: 415 CVEs, 62 kritisch
• Splashtop: 421 CVEs
• BleepingComputer: ~400 Lücken, 3 Zero-Days

Alle großen Quellen sind sich einig, dass die Gesamtzahl bei „etwa 400“ Schwachstellen liegt .

Die aktiv ausgenutzte Zero-Day: CVE-2026-68820

Die einzige Zero-Day, die Microsoft als aktiv in freier Wildbahn ausgenutzt bestätigte, ist CVE-2026-68820, eine Erhöhung von Berechtigungen (Elevation of Privilege, EoP) im Windows Ancillary Function Driver für WinSock (afd.sys) . Automox beschrieb es als „den Treiber hinter Windows-Socketverbindungen auf praktisch jedem Endpunkt“ . Der Fehler erlaubt es einem lokal authentifizierten Angreifer, SYSTEM-Zugriff auf betroffenen Systemen zu erlangen .

LegacyHive (CVE-2026-62832): Öffentlich bekannt gewordener Fehler im Windows-Benutzerprofildienst

CVE-2026-62832, öffentlich als „LegacyHive“ bezeichnet, ist eine Schwachstelle zur Erhöhung von Berechtigungen im Windows-Benutzerprofildienst. Sie beruht auf einer falschen Auflösung von Verknüpfungen vor dem Dateizugriff (CWE-59) . Microsoft bewertete sie als Important mit einem CVSS-Score von 7,8 und stufte die Ausnutzung als „wahrscheinlicher“ ein („Exploitation More Likely“) .

So funktioniert LegacyHive

Ein authentifizierter Angreifer, der die Anmeldeinformationen für ein zweites lokales Konto besitzt, kann eine speziell gestaltete Anwendung ausführen, um die Registrierungsstruktur (Registry Hive) eines anderen Benutzers zu laden. Dies kann potenziell zu Administratorrechten führen . Die Schwachstelle betrifft Windows 10, Windows 11 und Windows Server 2022/2025 vor den gepatchten Versionen .

ShieldBreak: Der Exploit, der angeblich Microsofts eigenen Patch umgeht

Am 12. August 2026 – einen Tag nach dem Patchday – veröffentlichte der Forscher Nightmare Eclipse (auch bekannt als Chaotic Eclipse) einen Proof-of-Concept-Exploit namens ShieldBreak . Laut dem Forscher handelt es sich bei ShieldBreak um eine vollständige Umgehung des Microsoft-Patches vom Juli 2026 für CVE-2026-50656 („RoguePlanet“). Dabei handelte es sich um einen Race-Condition-Fehler zur Rechteausweitung in der Microsoft Defender Malware Protection Engine (mpengine.dll) .

Was ShieldBreak bewirkt

ShieldBreak verschafft Berichten zufolge NT AUTHORITY\SYSTEM-Rechte auf vollständig gepatchten Windows 10-, Windows 11- und Windows Server-Systemen . Der Exploit nutzt einen anderen Angriffsweg als sein Vorgänger: Während RoguePlanet eine Dateisystem-Race-Condition mit virtuellen Festplatten ausnutzte, manipuliert ShieldBreak User-Mode-Callbacks, um Dateiinhalte während Defenders Cloud-Hydration-Scan über die Windows Cloud Filter API (cfapi) zu verändern . Der Forscher gab an, dass der Proof-of-Concept auf Windows 11 25H2 und Windows Server 2025 eine „100%ige Erfolgsquote“ erreicht .

Aktueller Stand

Einige Analysten haben darauf hingewiesen, dass Microsoft den Umgehungsvektor möglicherweise bereits stillschweigend gepatcht hat . Zum Zeitpunkt der Veröffentlichung von ShieldBreak war jedoch kein offizieller Microsoft-Fix verfügbar, um die Umgehung zu schließen . Unabhängige Forscher, darunter Howler Cell, bestätigten die erfolgreiche Reproduktion auf einem vollständig gepatchten Windows 11 Pro Host .

Die größere Eskalation: Nightmare Eclipse gegen Microsoft

Die Veröffentlichung von ShieldBreak ist das jüngste Kapitel in einem eskalierenden Streit zwischen Microsoft und dem anonymen Forscher Nightmare Eclipse.

Neun Zero-Days seit April 2026

Seit April 2026 hat Nightmare Eclipse öffentlich neun Zero-Day-Exploits offengelegt, darunter die früheren Lücken mit den Namen RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma und MiniPlasma . Drei davon – BlueHammer, RedSun und UnDefend – wurden als in freier Wildbahn ausgenutzt bestätigt und in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen .

Microsofts rechtliche Drohungen und der Backlash

Am 27. Mai 2026 veröffentlichte das Microsoft Security Response Center (MSRC) einen Beitrag, in dem dem Forscher mit strafrechtlicher Verfolgung gedroht wurde . Microsoft deaktivierte außerdem die Konten des Forschers auf GitHub (das Microsoft gehört) und GitLab . Dieser Schritt löste einen massiven Backlash in der Sicherheitscommunity aus . Bis zum 1. Juni 2026 lenkte Microsoft teilweise ein und stellte öffentlich klar, dass es „nicht die Absicht habe, gegen Personen vorzugehen, die Sicherheitsforschung betreiben oder veröffentlichen“ .

Fortgesetzte Veröffentlichung trotz Drohungen

Nightmare Eclipse hat während des gesamten Streits weiterhin Zero-Day-Exploits veröffentlicht. ShieldBreak erschien unmittelbar nach den August-Patchday-Updates 2026 . Der Forscher behauptet, dass frühere Meldungen von Schwachstellen über die offiziellen Kanäle von Microsoft ignoriert wurden, was die öffentlichen Offenlegungen motivierte .

Wichtige Handlungsempfehlungen für IT-Administratoren

1. CVE-2026-68820 zuerst patchen – die WinSock-Treiber-Zero-Day wird aktiv in freier Wildbahn ausgenutzt .
2. CVE-2026-62832 (LegacyHive) priorisieren – obwohl noch nicht ausgenutzt, stuft Microsoft die Ausnutzung als „wahrscheinlicher“ ein, und öffentlicher PoC-Code existiert .
3. Die ShieldBreak-Situation bleibt dynamisch – Microsoft hat den Umgehungsvektor möglicherweise bereits stillschweigend gepatcht, aber es gibt keine offizielle Bestätigung oder einen Fix . Administratoren sollten auf Updates für die Microsoft Defender Malware Protection Engine achten.
4. Die Nightmare-Eclipse-Kampagne läuft weiter – seit April 2026 wurden neun Zero-Days veröffentlicht, und es könnten weitere folgen .