LONDON (IT BOLTWISE) – Ein neuer Windows-Exploit namens LegacyHive zielt auf die User Profile Service-Komponente (ProfSvc) und ermöglicht das willkürliche Laden von Registry-Hives zur Privilegieneskalation. Der Proof-of-Concept ist laut den Angaben des Forschers unmittelbar nach dem Patch-Tuesday-Update verfügbar geworden – und soll auf allen aktuell unterstützten Windows-Desktop- und Serverversionen funktionieren. Parallel dazu häufen sich 2026 ungewöhnlich schnelle Fälle aktiver Ausnutzung nach öffentlichen Veröffentlichungen, bis hin zu SharePoint- und Defender-Schwachstellen. Für Unternehmen bedeutet das: kurzfristige Patch- und Monitoring-Disziplin bleibt entscheidend, weil Angriffe sich bereits vor vollständiger Verbreitung der Fixes in Prozesse einnisten können.
LegacyHive macht einmal mehr sichtbar, wie eng Zeitfenster zwischen Patch-Tuesday-Updates und realer Ausnutzbarkeit im Jahr 2026 werden. Ein Security-Forscher hat einen Proof-of-Concept veröffentlicht, der sich gegen den Windows User Profile Service richtet und als „arbitrary hive load elevation of privileges“-Problem beschrieben wird. Konkret geht es um ProfSvc, eine Kernkomponente, die Benutzerprofile und deren Umgebungen verwaltet. Besonders brisant: Der PoC wird als funktional für alle unterstützten Windows-Desktop- und -Serverversionen eingeordnet, einschließlich Systemen, die bereits das zuletzt veröffentlichte Juli-2026-Patch-Tuesday-Update enthalten.
Technisch betrachtet nutzt LegacyHive offenbar eine Schwachstelle rund um das Laden von Registry-Hives im Kontext des aktuellen Benutzers. Der Forscher beschreibt, dass der PoC eine Standardbenutzerkennung und zusätzlich einen dritten Benutzernamen benötigt – der wiederum ein Administratorkonto sein kann. Gelingt der Angriff, soll dabei das Ziel-User-Hive in den aktuellen User-Klassenroot gemountet werden. Damit ähnelt das Vorgehen weniger einem klassischen „Memory-Corruption“-Angriff und mehr einer Missbrauchskette, bei der Privilegien durch fehlerhafte Rechte-/Validierungslogik steigen. Der PoC wurde bewusst „beschnitten“, um öffentliche, leicht nachbaubare Ausnutzung zu erschweren.
Die Lage verschärft sich durch das Umfeld, in dem solche Veröffentlichungen 2026 stattfinden: Laut den beschriebenen Streitigkeiten zwischen dem Forscher und Microsoft seit April 2026 wurden mehrere Schwachstellen teils vor dem entsprechenden Fix öffentlich detailliert. Gleichzeitig zeigen die bisherigen Fälle, dass konkrete Defender-Schwachstellen nach Disclosure schnell in den Fokus aktiver Angreifer geraten können. Branchenanalysen ordnen diese Dynamik als Verschiebung von „Patch nach Bekanntwerden“ hin zu „Patch nach Eskalationswelle“ ein, weil die Angriffsanbahnung häufig automatisiert und sehr schnell skaliert. Unabhängig von der Ursache – Kommunikation, Timing oder Priorisierung – entsteht für Sicherheitsverantwortliche ein Mehrfrontenproblem.
Unternehmen sollten die aktuellen Zahlen dabei ernst nehmen: Microsoft habe insgesamt Patches für 622 Schwachstellen ausgeliefert, darunter auch sicherheitskritische Lücken in SharePoint Server. Im Mittelpunkt stehen zwei als aktiv ausgenutzt markierte Privilegieneskalationsprobleme: CVE-2026-56164 mit CVSS 5,3 und CVE-2026-56155 mit CVSS 7,8. Die US-Behörde CISA führt beide außerdem im Known Exploited Vulnerabilities (KEV)-Katalog, der Bundesbehörden zur Umsetzung bis zu festgelegten Terminen verpflichtet: bis zum 17. Juli bzw. bis zum 28. Juli 2026. Damit werden solche Lücken von „reaktivem Patchen“ praktisch zu „operativem Fristenmanagement“.
Gerade bei SharePoint wird das Muster deutlich, das in vielen Enterprise-Umgebungen besonders gefährlich ist: Die Lücken sollen Remote Code Execution (RCE) und post-exploitation Aktivitäten ermöglichen. CISA nennt als Beispiele das Stehlen von IIS-Machine-Keys sowie Deserialisierungs-Techniken, um Persistenz aufzubauen und Malware auszurollen. Auffällig ist dabei die Reichweite: Die Schwachstellen sollen alle unterstützten On-Premises-Varianten betreffen, einschließlich Subscription Edition, 2019 und 2016. Experten und Verantwortliche müssen daraus ableiten, dass selbst klassische „on-prem“ Installationen ohne hinreichende Segmentierung nicht automatisch als sicher gelten, wenn Authentifizierungs- oder Validierungslogik fehlerhaft ist.
Aus Unternehmenssicht ist auch der konkrete Charakter von CVE-2026-56164 relevant. Alex Vovk, CEO und Mitgründer von Action1, ordnet die Schwäche so ein, dass Angreifer speziell gefertigte Netzwerkrequests an eine Funktion senden können, die eigentlich Authentifizierung erfordern sollte. Gelingt das, kommt es zu Privilegieneskalation, weil Aktionen ohne vorgängige Authentifizierung oder ohne Benutzerinteraktion möglich werden. Die Aussage zielt zugleich auf die Angriffsoberfläche: „Internet-facing“ SharePoint-Server gelten als besonders exponiert, weil der Zugriff remote ohne gültige Credentials erfolgen kann. Für SOC-Teams heißt das: Monitoring von ungewöhnlichen Request-Mustern und Anomalien in der Authentifizierung gewinnt spürbar an Gewicht.
Neben diesen KEV-relevanten Fällen adressiert Microsoft nach der beschriebenen Lage auch eine weitere SharePoint-Bypass-Schwachstelle: CVE-2026-55040 mit CVSS 9,1. Hier geht es um einen Authentifizierungsumgehungseffekt durch Probleme in der JWT-Token-Validierungspipeline. Wenn diese Kette gelingt, können Angreifer Operationen gegen das SharePoint-Ziel als diejenige Identität durchführen, die sie im Token „identifizieren“. Entscheidend ist zudem die Kombination: CISA und andere Sicherheitsbetrachtungen deuten darauf hin, dass solche Bypässe häufig mit weiteren Schwachstellen im „authenticated attack surface“ verknüpft werden. Genau diese Chaining-Fähigkeit macht die Fälle für Angreifer ökonomisch attraktiv und für Verteidiger besonders schwer zu isolieren.
Für die Zukunft ergibt sich ein klares Handlungsbild: Angriffe, die auf Registry- oder Token-Verarbeitung zielen, lassen sich oft nicht allein durch Signaturen abfangen. LegacyHive zeigt dabei exemplarisch, wie schnelle PoC-Veröffentlichungen die Reihenfolge „Fix zuerst, Angriff danach“ aushebeln können. Gleichzeitig wirkt Microsoft mit „defense-in-depth updates“ gegen weitere Defender-Probleme, doch laut Darstellung kann das in bestimmten Szenarien zu einem Datenleck von 8 Bytes führen. Die Branche wird solche Nebenwirkungen künftig stärker in Risikoanalysen einbeziehen müssen: nicht nur „Patch ja/nein“, sondern auch „Regression/Seiteneffekte im Security-Kontext“. Kurzfristig sollten IT-Teams Patch-Level, Ausrollgeschwindigkeit und Incident-Playbooks synchronisieren – mittelfristig rückt die Architektur von Validierungspipelines, Berechtigungsgrenzen und Telemetrie in den Mittelpunkt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "LegacyHive: Windows-Privilegieneskalation schon vor dem Patch greifbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "LegacyHive: Windows-Privilegieneskalation schon vor dem Patch greifbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »LegacyHive: Windows-Privilegieneskalation schon vor dem Patch greifbar« bei Google Deutschland suchen, bei Bing oder Google News!