Github-Konto gesperrt: Streit zwischen Microsoft und Chaotic Eclipse eskaliert
Der Streit zwischen Microsoft und dem Sicherheitsforscher Chaotic Eclipse (auch bekannt als Nightmare Eclipse), der in den letzten Wochen mehrere Zero-Day-Exploits für Windows geleakt hatte, geht in die nächste Runde. Microsoft hat offenbar das Github-Konto gesperrt, über welches der Forscher seine Exploits veröffentlichte. Doch Chaotic Eclipse reagierte sofort und zog auf Gitlab um.
Begonnen hat die jüngste Eskalation mit Microsofts Bereitstellung von Abhilfemaßnahmen zum Schutz vor dem Yellowkey-Exploit (CVE-2026-45585). "Der Proof-of-Concept für diese Sicherheitslücke wurde unter Verstoß gegen bewährte Praktiken zur koordinierten Offenlegung von Sicherheitslücken veröffentlicht", schrieb Microsoft in seiner Sicherheitsmeldung(öffnet im neuen Fenster).
Chaotic Eclipse erklärte daraufhin in einem Blogbeitrag(öffnet im neuen Fenster), es handle sich bei Microsofts Angaben um einen Diffamierungsversuch. "Ihr habt mir absichtlich den Zugriff auf mein MSRC-Konto entzogen, über das ich euch Sicherheitslücken gemeldet habe. Als ich euch darauf ansprach und mehrfach um eine Erklärung bat, habt ihr das Konto vollständig gelöscht", so der Forscher.
Microsoft sperrt Github-Konto
Kurz darauf folgte offenbar die Sperrung des Github-Kontos von Chaotic Eclipse(öffnet im neuen Fenster). Wer versucht, dieses aufzurufen, wird derzeit mit einer 404-Fehlermeldung konfrontiert. Auch das ließ der Forscher nicht unbeantwortet und veröffentlichte sogleich einen weiteren Blogbeitrag(öffnet im neuen Fenster) mit einer klaren Ansage an Microsoft sowie einem Verweis auf seinen neu angelegten Gitlab-Account(öffnet im neuen Fenster), wo nun all seine bisher veröffentlichten Exploits zu finden sind.
"Lasst mich das mal klarstellen: Als ich euch [Microsoft] ausdrücklich gebeten habe, mit mir zu kommunizieren, habt ihr euch geweigert, mich gedemütigt und dafür gesorgt, dass ich vor anderen Leuten beleidigt wurde", schrieb Chaotic Eclipse.
"Ihr diffamiert mich öffentlich mit eurem CVE-2026-45585-Hinweis, obwohl ihr buchstäblich das Microsoft-Konto gelöscht habt, über das ich euch Fehler gemeldet habe, und ich dafür keinen Cent bekommen habe – und ich habe es trotzdem wie ein Idiot gerne getan. Und jetzt nehmt ihr euch die Frechheit raus, mein Github-Konto zu sperren und es einfach so aus der Öffentlichkeit zu tilgen?"
Zur Verschwiegenheit verpflichtet?
Darüber hinaus wirft der Forscher Microsoft vor, den Konflikt aktiv eskalieren zu lassen. Details zu den Vorkommnissen, die ihn dazu verleitet haben, ständig neue Zero-Day-Exploits zu leaken, liefert Chaotic Eclipse aber noch immer nicht. "Ich klinge vielleicht wie ein verrückter Idiot, der nur herumjammert, aber ich habe Beweise für jedes einzelne Wort, das ich gesagt habe – ich kann sie nur noch nicht veröffentlichen", heißt es im Blogbeitrag.
Grund dafür sei, dass Microsoft ihn schon seit Jahren "in seinen Fängen" habe. Das deutet darauf hin, dass Chaotic Eclipse eine Verschwiegenheitserklärung unterzeichnet hat, die es ihm aktuell verwehrt, nähere Details zu nennen. "Ich hoffe, ich kann die Dokumente bald veröffentlichen", schrieb der Forscher weiter.
Dass Chaotic Eclipse weitere Zero-Day-Exploits veröffentlichen wird, ist anzunehmen. In seinem Blog kündigte er gegenüber Microsoft an, am 14. Juli dafür zu sorgen, "dass eure Knochen zerschmettert werden". Damit dürfte es spätestens zum Juli-Patchday einen neuen Exploit geben. Ob Chaotic Eclipse auch im Juni einen Exploit leakt, ist nach Angaben des Forschers noch ungewiss.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.