Microsoft hat alte Windows-Schwachstelle wohl nie geschlossen

Ein "neuer" Windows-Zero-Day sorgt in der IT-Sicherheitsbranche für Aufsehen: Ein Sicherheitsforscher hat einen funktionierenden Exploit veröffentlicht, mit dem sich auf vollständig aktualisierten Windows-Systemen höchste Systemrechte erlangen lassen.

Bug angeblich seit Jahren geschlossen

Die Schwachstelle mit dem Namen "MiniPlasma" steckt offenbar im Cloud-Filter-Treiber "cldflt.sys" und könnte Angreifern ermöglichen, lokale Benutzerkonten auf SYSTEM-Ebene hochzustufen. Damit lässt sich letztlich auch mit relativ trivialer Malware ein Rechner komplett übernehmen.

Veröffentlicht wurde der Proof of Concept von dem Sicherheitsforscher, der unter den Pseudonymen "Chaotic Eclipse" und "Nightmare Eclipse" bekannt ist. Neben dem Quellcode stellte er auf GitHub auch eine kompilierte ausführbare Datei bereit. Der Forscher wirft Microsoft vor, eine bereits vor Jahren gemeldete Sicherheitslücke nie vollständig behoben zu haben.


Demnach geht die Schwachstelle auf einen Bericht des Google-Projekt-Zero-Experten James Forshaw zurück. Dieser hatte das Problem bereits im September 2020 an Microsoft gemeldet. Damals erhielt die Lücke die Kennung CVE-2020-17103 und galt seit Dezember desselben Jahres offiziell als geschlossen. Nach Angaben von Chaotic Eclipse sei die ursprüngliche Schwachstelle jedoch weiterhin vorhanden. Selbst der alte Exploit von Google funktioniere unverändert.

Auch unabhängige Tests scheinen die Vorwürfe zu bestätigen. Das Technikportal BleepingComputer berichtet, den Exploit erfolgreich auf einem vollständig gepatchten Windows-11-Pro-System mit den aktuellen Sicherheitsupdates vom Mai 2026 getestet zu haben. Dabei reichte ein normales Benutzerkonto aus, um anschließend eine Kommandozeile mit SYSTEM-Rechten zu öffnen. Der Sicherheitsanalyst Will Dormann bestätigte ebenfalls die Funktionsfähigkeit auf aktuellen Windows-11-Versionen. In einer neueren Insider-Preview-Ausgabe von Windows 11 habe der Angriff jedoch nicht mehr funktioniert.

Patch kommt wohl endlich

Technisch soll der Fehler mit der Verarbeitung bestimmter Registry-Einträge über eine bislang kaum dokumentierte API namens "CfAbortHydration" zusammenhängen. Dadurch könnten unzulässige Änderungen an geschützten Bereichen der Windows-Registry vorgenommen werden.

MiniPlasma ist nicht die erste Veröffentlichung des Forschers in den vergangenen Wochen. Bereits zuvor hatte Chaotic Eclipse mehrere weitere Windows-Sicherheitslücken öffentlich gemacht, darunter "BlueHammer", "RedSun", "YellowKey" und "GreenPlasma". Einige dieser Schwachstellen wurden nach ihrer Veröffentlichung bereits aktiv in Angriffen ausgenutzt.

Der Forscher begründet die direkte öffentliche Bereitstellung von Informationen über Schwachstellen mit Frust über Microsofts Umgang mit Sicherheitsmeldungen und dem Bug-Bounty-Programm des Unternehmens. Microsoft erklärte dagegen erneut, man unterstütze die koordinierte Offenlegung von Schwachstellen und untersuche gemeldete Sicherheitsprobleme kontinuierlich.
Siehe auch: