Neben BlueHammer veröffentlichte Chaotic Eclipse zwei weitere Schwachstellen in Microsoft Defender: eine als „RedSun" bezeichnete Lücke zur Rechteausweitung sowie eine dritte mit dem Namen „UnDefend", über die sich als normaler Nutzer die Aktualisierung der Defender-Signaturen blockieren lässt. Zum Zeitpunkt des Leaks galten alle drei nach Microsofts Definition als Zero-Days, da es noch keine offiziellen Patches gab.
Sicherheitsforscher von Huntress Labs berichteten, dass Angreifer diese Zero-Days bereits aktiv ausnutzten. Die beobachteten Aktivitäten deuteten dabei auf manuell agierende Angreifer hin und seien Teil eines umfassenderen Einbruchs gewesen, nicht bloß isolierte Tests mit dem Proof-of-Concept-Code.
„Huntress identifizierte verdächtige Zugriffe über FortiGate SSL VPN, die mit der kompromittierten Umgebung in Verbindung standen, darunter eine Quell-IP mit Geolokalisierung in Russland sowie weitere verdächtige Infrastruktur in anderen Regionen", erklärte das Unternehmen in seinem Bericht.
Mit der Aufnahme in den KEV-Katalog verpflichtet CISA die zivilen Bundesbehörden (Federal Civilian Executive Branch), ihre Windows-Systeme bis zum 7. Mai abzusichern. Diese Art von Schwachstelle sei ein häufiger Angriffsvektor und stelle ein erhebliches Risiko für die Bundesverwaltung dar, warnte die Behörde. Die Behörden sollen die Vorgaben des Herstellers umsetzen, für Cloud-Dienste die Richtlinie BOD 22-01 befolgen oder das Produkt einstellen, falls keine Gegenmaßnahmen verfügbar sind.
Bereits eine Woche zuvor hatte CISA gewarnt, dass auch eine Schwachstelle im Windows Task Host (CVE-2025-60710) aktiv ausgenutzt wird. Diese verschafft Angreifern SYSTEM-Rechte auf ungepatchten Geräten mit Windows 11 und Windows Server 2025.