Der Exploit wurde mit Quellcode und kompilierter ausführbarer Datei veröffentlicht – ein aggressiver Schritt, der sowohl die Sicherheitscommunity als auch Microsoft unter Druck setzt. Der Forscher testete den Exploit auf vollständig aktualisierten Systemen, einschließlich Windows 11 Pro mit den Mai-2026-Sicherheitsupdates. Das Ergebnis: Ein Befehlsfenster mit vollständigen SYSTEM-Rechten öffnete sich nach wenigen Sekunden.
Die technische Grundlage der Lücke liegt in der “HsmOsBlockPlaceholderAccess”-Routine des Cloud Filter Drivers. Der Exploit missbraucht die Handhabung der Registry-Schlüsselerstellung durch die undokumentierte CfAbridation-API. Dies ermöglicht es, beliebige Registry-Schlüssel in der .DEFAULT-Benutzerhive ohne ordnungsgemäße Zugriffsprüfungen zu erstellen – ideale Bedingungen für Privilege Escalation.
Besonders bemerkenswert: Der ursprüngliche Proof-of-Concept von Google-Forscher James Forshaw funktioniert nach Aussage des aktuellen Forschers unverändert. Dies deutet darauf hin, dass entweder kein echtes Patch stattfand oder ein einmal eingespieltes Update später wieder zurückgerollt wurde. Microsoft hat sich bislang nicht öffentlich zu diesen Vorwürfen geäußert.
Dieser MiniPlasma-Exploit ist Teil einer bemerkenswerten Veröffentlichungsserie. In den letzten Wochen gab der Forscher mehrere Windows-Exploits frei: BlueHammer (CVE-2026-33825), RedSun, UnDefend, YellowKey und GreenPlasma. YellowKey ist besonders kritisch – es umgeht BitLocker auf Windows 11 und Windows Server 2022/2025 durch TPM-Only-Konfigurationen.
Der Forscher begründet die öffentliche Disclosure damit, dass Microsoft ihn bei der Bug-Bounty-Bearbeitung schlecht behandelt habe. Er spricht von Drohungen und behauptet, Microsoft habe sein Leben “zerstört”. Diese persönliche Komponente erklärt die aggressive Strategie, alle Exploits ohne Abstimmung zu veröffentlichen.
Für deutsche Organisationen ist dies ein Weckruf: Windows-Systeme könnten stärker exponiert sein als angenommen. IT-Security-Teams sollten sofort handeln – zunächst durch Netzwerk-Segmentierung und erhöhte Überwachung, bis Microsoft eine echte Korrektur bereitstellt. Das BSI wird hierzu zeitnah Handlungsempfehlungen ausgeben.