Auslöser der Veröffentlichung war ein Protest gegen Microsofts Umgang mit Bug-Bounty-Programmen und der Offenlegung von Schwachstellen. Der Forscher „Nightmare Eclipse“ stellte wenige Stunden nach den Sicherheitsupdates zum Patch Tuesday im Juli 2026 einen LegacyHive-Proof-of-Concept online und erklärte, damit eine Schwachstelle im Windows User Profile Service auszunutzen.
Microsoft reagierte zunächst zurückhaltend. Ein Unternehmenssprecher erklärte gegenüber BleepingComputer, Microsoft sei sich der gemeldeten Schwachstelle bewusst und untersuche aktiv die Gültigkeit sowie die mögliche Relevanz der Behauptungen. Inzwischen hat der Hersteller die Lücke bestätigt und diese in den August-Updates unter der Kennung CVE-2026-62832 geschlossen.
Laut Microsoft beruht LegacyHive auf einer unsachgemäßen Auflösung von Verknüpfungen vor dem Dateizugriff im Windows User Profile Service. Der Hersteller beschreibt das Szenario so: Ein authentifizierter Angreifer, der Zugangsdaten für ein anderes lokales Konto besitzt, kann eine speziell gestaltete Anwendung ausführen, um den Registrierungshive eines anderen Nutzers zu laden. Dadurch könne der Angreifer auf Daten eines anderen Benutzers zugreifen oder diese verändern und zudem Administratorrechte erlangen. Eine Benutzerinteraktion sei dafür nicht erforderlich.
Der Schwachstellenanalyst Will Dormann erläuterte, dass auch Nutzer ohne Administratorrechte mit dem von Nightmare Eclipse veröffentlichten Exploit den Klassen-Registrierungshive verändern können. Melde sich anschließend ein Administratorkonto an einem kompromittierten System an, sei eine automatische Codeausführung möglich.
Einen Tag nach Veröffentlichung des Proof of Concept legte der Cybersicherheitsexperte Kevin Beaumont Erkennungsabfragen für Microsoft Defender for Endpoint vor und bestätigte ebenfalls, dass der Exploit funktioniere. Gleichzeitig gilt die Lücke als schwieriger zu missbrauchen als frühere Veröffentlichungen von Nightmare Eclipse, weil für den Angriff zusätzliche Zugangsdaten benötigt werden.
Microsoft führt die Schwachstelle jetzt als CVE-2026-62832, nennt bei der Zuschreibung aber nicht Nightmare Eclipse, sondern einen anonymen Forscher. Parallel dazu hatte ACROS Security, das Unternehmen hinter der Plattform 0Patch, bereits am 20. Juli kostenlose inoffizielle LegacyHive-Patches veröffentlicht. Diese gelten für Systeme mit Windows 10 2004 oder neuer sowie Windows Server 2022 oder neuer.
LegacyHive ist nicht der erste von Nightmare Eclipse offengelegte Zero-Day in diesem Jahr. Seit April 2026 veröffentlichte der Forscher mehrere Schwachstellen, darunter ShieldBreak, LegacyHive, RoguePlanet, YellowKey, BlueHammer, RedSun, GreenPlasma, MiniPlasma und UnDefend in Microsoft Defender, BitLocker und weiteren Windows-Komponenten. Microsoft hat laut Quelltext die Schwachstellen YellowKey, GreenPlasma und MiniPlasma im Juni 2026 sowie RoguePlanet im Juli gepatcht. Für die übrigen Zero-Days steht ein offizieller Patch demnach noch aus.