Die Schwachstelle der lokalen Privilegienerweiterung CVE-2026-33825, die Microsoft Windows betrifft, wurde zum Ausgangspunkt eines öffentlichen Konflikts zwischen dem Sicherheitsforscher, der unter dem Namen Nightmare Eclipse bekannt ist, und dem Team des Microsoft Security Response Center. Eine erfolgreiche Ausnutzung ermöglicht nach vorliegenden Informationen den Zugriff auf die Security Account Manager (SAM)-Datenbank mit den Hashes der Kennwörter lokaler Konten und die Eskalation der Privilegien bis zur Stufe SYSTEM. Microsoft behob das Problem im Rahmen des Patch Tuesday im April 2026, worauf jedoch eine Reihe weiterer Schwachstellenoffenlegungen folgte, die der Forscher als Protest gegen die Praktiken des MSRC positioniert.
Technische Details zu CVE-2026-33825
Die Schwachstelle BlueHammer (CVE-2026-33825) gehört zur Klasse der lokalen Privilegienerweiterungen in Windows. Nach Angaben aus einer externen Analyse kombiniert der Exploit zwei Methoden: TOCTOU (time-of-check to time-of-use) – eine Race-Condition zwischen Prüfung und Nutzung einer Ressource – und path confusion, also die Manipulation von Dateisystempfaden. Die Kombination dieser Techniken erlaubt es einem Angreifer, Zugriff auf die SAM-Datenbank zu erhalten und die Privilegien auf SYSTEM anzuheben.
Es ist zu beachten, dass CVE-2026-33825 zum Zeitpunkt der Analyse nicht im CISA-Katalog Known Exploited Vulnerabilities aufgeführt ist. Eine CVSS-Bewertung wird in den verfügbaren Quellen nicht genannt. Der Status einer aktiven Ausnutzung in freier Wildbahn ist auf Basis der Primärquellen nicht bestätigt, auch wenn in einzelnen Veröffentlichungen von Einsätzen des Exploits berichtet wird – diese Angaben bedürfen zusätzlicher Verifizierung.
Auf kompromittierten Systemen wurde dem Vernehmen nach vor dem Start der Exploits die manuelle Ausführung von Aufklärungskommandos festgestellt:
whoami /priv– Überprüfung der aktuellen Privilegiencmdkey /list– Anzeige gespeicherter Anmeldedatennet group– Auflistung von Domänengruppen
Dies weist auf ein Post-Exploitation-Szenario hin: Die Schwachstelle wurde zur Privilegieneskalation genutzt, nachdem bereits ein erster Zugriff auf das System erlangt worden war.
Kontext des Konflikts und die Serie von Offenlegungen
Der Forscher Nightmare Eclipse (auch als Chaotic Eclipse erwähnt) veröffentlichte nach eigenen Angaben den Exploit als Protest gegen die Praktiken des MSRC. Er behauptet, dass seine Schwachstellenberichte ignoriert worden seien und die Interaktion mit dem Microsoft-Team von Druck begleitet worden sei. Diese Behauptungen stammen aus einer einzigen Quelle und sind nicht durch unabhängige Primärmaterialien – offizielle Stellungnahmen von Microsoft oder Dokumente des MSRC – bestätigt.
Microsoft wiederum, so wird berichtet, warf dem Forscher vor, auf eine koordinierte Offenlegung von Schwachstellen verzichtet zu haben, und hob hervor, dass die Veröffentlichung von Exploits vor Bereitstellung von Patches Endnutzer gefährde. Eine primäre Stellungnahme Microsofts zu diesem Thema ist in den verfügbaren Materialien ebenfalls nicht enthalten.
Nach der Behebung von BlueHammer veröffentlichte der Forscher den Quellen zufolge Informationen zu weiteren Schwachstellen in Microsoft Defender unter den Bezeichnungen RedSun und UnDefend und nach dem Patch Tuesday im Mai zu den Problemen YellowKey und GreenPlasma. Die letzte Episode steht im Zusammenhang mit der Schwachstelle RoguePlanet in Defender, bei der der Forscher erklärte, dass die Schutzänderungen im Patch ein neues gefährliches Szenario geschaffen hätten. Keine dieser Schwachstellen ist in den verfügbaren Materialien durch Primärquellen – Hersteller-Bulletins oder Einträge in der NVD – bestätigt.
Besondere Beachtung verdient der Vorwurf an Microsoft, RedSun „still“ behoben zu haben – ohne Vergabe einer CVE, ohne öffentliche Mitteilung und ohne Anerkennung einer Ausnutzung. Trifft dies zu, untergräbt eine solche Praxis die Transparenz im Vulnerability-Management-Prozess und erschwert Administratoren die Priorisierung von Patches.
Bewertung der Auswirkungen
Die Schwachstelle CVE-2026-33825 stellt ein Risiko für alle Systeme auf Basis von Microsoft Windows dar, auf denen die April-Updates 2026 nicht installiert sind. Eine lokale Privilegienerweiterung bis zur Stufe SYSTEM gehört zu den kritischsten Post-Exploitation-Szenarien: Sie eröffnet die vollständige Kontrolle über das System, den Zugriff auf Kennworthashes und die Möglichkeit zur lateralen Bewegung im Netzwerk.
Der weitere Kontext – die Serie der behaupteten Offenlegungen – schafft zusätzliche Unsicherheit. Organisationen, die Microsoft Defender als primäre Endpoint-Sicherheitslösung einsetzen, sollten das potenzielle Risiko berücksichtigen, das mit den erwähnten, aber bislang nicht verifizierten Schwachstellen in diesem Produkt verbunden ist.
Empfehlungen
- Installieren Sie umgehend die Windows-Updates vom April und Mai 2026, falls dies noch nicht geschehen ist. CVE-2026-33825 wurde im Patch Tuesday im April behoben.
- Prüfen Sie die Protokolle auf Anzeichen von Aufklärungstätigkeiten: Die Ausführung der Kommandos
whoami /priv,cmdkey /list,net groupdurch untypische Konten oder zu ungewöhnlichen Zeiten kann auf Post-Exploitation-Aktivität hindeuten. - Beschränken Sie lokale Privilegien nach dem Prinzip der geringsten Rechte. Schwachstellen der Klasse LPE verlieren einen Großteil ihres Werts, wenn ein Angreifer keinen ersten Zugriff mit Rechten eines normalen Benutzers erlangen kann.
- Überwachen Sie Zugriffe auf die SAM-Datenbank – ein anomaler Zugriff auf die Dateien SAM, SYSTEM und SECURITY im Verzeichnis
%SystemRoot%\system32\configsollte einen Alarm auslösen. - Verfolgen Sie die Updates von Microsoft für die betroffenen Produkte (Windows, Defender, BitLocker) in den kommenden Patch-Tuesday-Zyklen – angesichts der angekündigten Serie von Offenlegungen ist die Wahrscheinlichkeit zusätzlicher Korrekturen hoch.
Die Priorität für die Installation des Patches für CVE-2026-33825 ist hoch, insbesondere für Systeme in einer Domänenumgebung, in der die Kompromittierung von SAM-Hashes zu einer kaskadenartigen Ausbreitung des Angriffs führen kann. Organisationen, die stark von Microsoft Defender abhängen, sollten bis zur Klärung der Situation rund um die gemeldeten, aber nicht verifizierten Schwachstellen in diesem Produkt eine zusätzliche Ebene des Endpoint-Monitorings in Betracht ziehen.
