Nach der Analyse des veröffentlichten Proof of Concept erklärte Will Dormann, Principal Vulnerability Analyst bei Tharros, dass sich „LegacyHive“ von Benutzern ohne Administratorrechte ausnutzen lässt, um die Klassen-Registry-Hive zu verändern. Dadurch könne automatisch Code ausgeführt werden, sobald sich ein Administratorkonto an einem kompromittierten Gerät anmeldet.
Auch der Cybersicherheitsexperte Kevin Beaumont bestätigte einen Tag nach der Veröffentlichung des Proof of Concept, dass der Exploit funktioniert. Zudem veröffentlichte er Erkennungsabfragen für Microsoft Defender for Endpoint, mit denen sich eine Ausnutzung von „LegacyHive“ aufspüren lässt.
Microsoft teilte BleepingComputer auf Anfrage mit: „Microsoft ist sich der gemeldeten Schwachstelle bewusst und untersucht aktiv die Gültigkeit und die mögliche Anwendbarkeit dieser Behauptungen.“ Weiter erklärte ein Sprecher: „Microsoft verpflichtet sich, Sicherheitsprobleme zu untersuchen und betroffene Produkte so schnell wie möglich zu aktualisieren, um Kunden zu schützen.“
Solange Microsoft weder eine CVE-ID vergeben noch ein Update ausgeliefert hat, bietet ACROS Security bereits einen Workaround in Form kostenloser Micropatches an. Mitja Kolsek, Geschäftsführer von ACROS Security, beschreibt die Schwachstelle so: „Die Schwachstelle erlaubt es einem normalen Benutzer ohne Administratorrechte, die Registry-Hive eines beliebigen anderen Benutzers im Modus mit vollständigem Zugriff einzubinden und dann entweder die dort gespeicherten Geheimnisse auszulesen oder beliebige Werte in der Registry dieses Benutzers zu verändern, um zu beeinflussen, was bei der nächsten Anmeldung ausgeführt wird.“
Zur Wirkung des inoffiziellen Patches sagt Kolsek: „Mit aktiviertem 0Patch scheint der Exploit weiterhin zu funktionieren, aber statt der Hive von adminuser wird eine temporäre Benutzerprofil-Hive geladen. Das ist für den Angreifer nutzlos.“ ACROS Security erklärt, dass die Micropatches kleine Patches sind, die Codeanweisungen einschleusen, um den verwundbaren Codeabschnitt zu ersetzen.
Betroffen sind laut ACROS Security nicht ältere Systeme vor Windows 10 2004 und Windows Server 2019. Angeboten werden die Micropatches für Windows 10 2004 oder neuer sowie für Windows Server 2022 oder neuer. Für die Installation ist ein 0Patch-Konto sowie der 0Patch-Agent erforderlich. Wenn keine benutzerdefinierten Patch-Richtlinien die Verteilung blockieren, wird der Micropatch nach dem Start des Agents automatisch ausgerollt, ohne dass ein Neustart nötig ist.
Nightmare Eclipse hat in den vergangenen Monaten bereits weitere Zero-Day-Exploits für Schwachstellen in Microsoft Defender, BitLocker und verschiedenen Windows-Komponenten offengelegt, darunter RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Microsoft schloss YellowKey, GreenPlasma und MiniPlasma im vergangenen Monat mit den Patch-Tuesday-Updates vom Juni 2026 sowie RoguePlanet mit den Sicherheitsupdates im Juli. Die übrigen von Nightmare Eclipse offengelegten Schwachstellen warten weiterhin auf einen Patch.