Zero-Day-Exploit für Windows wird im Darknet für 220.000 $ angeboten

Ein bislang unbekannter Angreifer bietet im Darknet einen Zero-Day-Exploit für eine kritische Sicherheitslücke in Windows an. Für diesen verlangt er rund 220.000 Dollar. Angegriffen wird dabei eine Schwachstelle im Windows Remote Desktop Services.

Bug ist bekannt

Der Bug wurde bereits mit der Kennung CVE-2026-21533 in den Security-Datenbanken vermerkt und Microsoft arbeitet an einer Korrektur. Er ermöglicht unter bestimmten Umständen eine Ausweitung von Benutzerrechten bis hin zu administrativer Kontrolle über ein System.

Der Verkauf wurde laut Beobachtern der Cybercrime-Szene in einem einschlägigen Untergrundforum entdeckt. Ein Nutzer mit dem Namen "Kamirmassabi", dessen Konto erst Anfang März 2026 erstellt wurde, stellte dort eine Anzeige im Bereich für Malware und Exploits ein. Darin bezeichnet der Anbieter die Lücke ausdrücklich als "0day", also als bisher nicht öffentlich ausgenutzte Schwachstelle mit funktionierendem Angriffscode. Interessenten sollen sich per privater Nachricht melden, um Details zu klären oder den Exploit zu erwerben.


Die Sicherheitslücke selbst wurde von Microsoft bereits im Februar 2026 dokumentiert. Allerdings stellt die mögliche Existenz eines funktionsfähigen Angriffswerkzeugs eine deutlich größere Gefahr dar, da damit reale Angriffe auf ungepatchte Systeme möglich werden. Der ungewöhnlich hohe Preis deutet darauf hin, dass der Exploit als besonders zuverlässig gilt und auf eine große Zahl potenzieller Zielsysteme angewendet werden kann.

Technisch handelt es sich bei CVE-2026-21533 um eine sogenannte "Elevation of Privilege"-Schwachstelle. Sie entsteht durch fehlerhafte Verwaltung von Zugriffsrechten innerhalb der Remote-Desktop-Komponenten von Windows. Dadurch kann ein bereits authentifizierter Nutzer mit normalen Rechten seine Berechtigungen lokal ausweiten und schließlich vollständige Administratorrechte auf dem betroffenen Rechner erlangen.

Viele Versionen betroffen

Betroffen sind zahlreiche Versionen von Microsoft-Betriebssystemen, darunter verschiedene Varianten von Windows 10 und Windows 11 sowie mehrere Windows-Server-Versionen - von Windows Server 2012 bis hin zu neueren Ausgaben. Mit einem CVSS-Wert von 7,8 gilt die Lücke als schwerwiegend. Zudem wurde sie in den Katalog der aktiv ausgenutzten Schwachstellen der US-Cybersicherheitsbehörde CISA aufgenommen.

Sicherheitsexperten raten daher dringend, die kommenden Sicherheitsupdates Microsofts zeitnah zu installieren. Zusätzlich sollten Administratoren den Zugriff auf Remote Desktop Services auf vertrauenswürdige Netzwerke beschränken oder die Funktion ganz deaktivieren, wenn sie nicht zwingend benötigt wird. Moderne Endpoint-Detection-Systeme können zudem helfen, verdächtige Aktivitäten wie unerwartete Änderungen in der Systemregistrierung oder Versuche einer Rechteausweitung frühzeitig zu erkennen.


Siehe auch: