Ein Sicherheitsforscher, der unter den Pseudonymen Nightmare Eclipse, Chaotic Eclipse und Dead Eclipse auftritt, hat seit Anfang April 2026 Exploit-Code für sechs Windows-Zero-Day-Schwachstellen veröffentlicht, ohne Microsoft vorab zu benachrichtigen. Drei davon – BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091) und UnDefend (CVE-2026-45498) – wurden bereits aktiv in freier Wildbahn ausgenutzt. GitHub entfernte das Konto des Forschers um den 23. Mai, GitLab folgte am 26.–27. Mai. In einem Blogbeitrag vom 28. Mai erklärte Microsoft, die Offenlegungen würden „unsere Kunden einem unnötigen Risiko aussetzen“, und rief die Community dazu auf, die Standards der koordinierten Offenlegung von Schwachstellen (CVD) einzuhalten. Zudem fügte das Unternehmen hinzu, seine Sicherheitsteams hätten „rund um die Uhr“ daran gearbeitet, Patches zu entwickeln.
Zum Zeitpunkt der Veröffentlichung sind drei Exploits weiterhin ungepatcht: YellowKey (CVE-2026-45585, ein BitLocker-Bypass), GreenPlasma und MiniPlasma. Der Forscher, der vermutlich aus persönlichem Groll gegen das Microsoft Security Response Center handelt, reagierte in einem Blogbeitrag mit der Ankündigung eines „knochenbrecherischen“ Drops am 14. Juli – dem Datum des nächsten Microsoft-Patch-Tuesdays – und beschuldigte das Unternehmen, das Konto gelöscht zu haben, über das er zuvor Fehler gemeldet hatte. Der Sicherheitsforscher Kevin Beaumont, ein ehemaliger Microsoft-Ingenieur, beschrieb die Situation als „einen selbst verursachten Scherbenhaufen“ und wies darauf hin, dass Microsoft einst einen Forscher eingestellt habe, der ebenfalls ohne Koordination Zero-Day-Code veröffentlicht habe – ein Verhalten, das Redmond nun mit feindseligen Begriffen charakterisiere.