Sicherheitslücke in OpenAI und Claude erlaubt Hackerangriffe

Eine schwer­wie­gen­de Sicher­heits­lü­cke hat die Welt der KI-Coding-Tools erschüt­tert. For­scher ent­deck­ten, dass belieb­te Assis­ten­ten, dar­un­ter Clau­de Code und mit Ope­nAI ver­bun­de­ne Tools, dazu gebracht wer­den kön­nen, Hackern zu ermög­li­chen, Datei­en auf dem Desk­top eines Nut­zers unbe­merkt zu über­schrei­ben. Kei­ne dra­ma­ti­sche War­nung. Kei­ne offen­sicht­li­chen Anzei­chen. Nur stil­le Ver­än­de­run­gen, die sich ein­schlei­chen. Die Fra­ge, die sich lohnt zu stel­len, ist, wie vie­le Ent­wick­ler bereits betrof­fen sein könn­ten , und die Ant­wort ist beun­ru­hi­gen­der als erwartet.

Kritische Sicherheitslücke aufgedeckt

Ein schwer­wie­gen­der Sicher­heits­feh­ler in Anthro­pics Clau­de Code hat Angrei­fern einen unkom­pli­zier­ten Weg zur Remo­te-Code-Aus­füh­rung eröff­net , und zwar durch nichts wei­ter als einen mani­pu­lier­ten Link. Der For­scher Joern­chen von 0day.click ver­öf­fent­lich­te die Ergeb­nis­se am 12. Mai 2026 und ent­hüll­te, dass bös­ar­ti­ge ‘claude-cli://‘-Deeplinks belie­bi­ge Ein­stel­lun­gen und Shell-Befeh­le direkt in die Clau­de-Code-Instanz eines Opfers ein­schleu­sen konn­ten. Die Aus­wir­kun­gen sind erheb­lich für Ent­wick­ler, die täg­lich auf das Tool ange­wie­sen sind, da eine ein­zi­ge Link-Inter­ak­ti­on aus­reich­te, um die Kon­fi­gu­ra­ti­on umzu­schrei­ben und vom Angrei­fer kon­trol­lier­te Befeh­le auf dem Ziel­sys­tem aus­zu­füh­ren. Anthro­pic hat das Pro­blem in Ver­si­on 2.1.118 beho­ben, doch die Offen­le­gung ver­leiht den wach­sen­den Beden­ken hin­sicht­lich der Sicher­heits­la­ge von KI-Coding-Assis­ten­ten als gesam­ter Kate­go­rie zusätz­li­ches Gewicht. Der Angriff wur­de zusätz­lich durch die Mög­lich­keit ver­stärkt, den Workspace-Ver­trau­ens­dia­log voll­stän­dig zu umge­hen, wobei Angrei­fer einen ver­trau­ens­wür­di­gen Repo-Para­me­ter nutz­ten, der mit lokal geklon­ten Repo­si­to­ries über­ein­stimm­te, um Warn­hin­wei­se zu unter­drü­cken und so eine stil­le Hintergrundausführung ohne jeg­li­che Benut­zer­be­stä­ti­gung zu ermöglichen.

Bestätigte Schwachstelle für Remote-Code-Injektion

Sicher­heits­for­scher von Check Point haben meh­re­re Code-Injec­tion-Schwach­stel­len in Clau­de Code, dem KI-gestütz­ten Pro­gram­mier­as­sis­ten­ten von Anthro­pic, offen­ge­legt. Die­se Schwach­stel­len set­zen Benut­zer beim Öff­nen nicht ver­trau­ens­wür­di­ger Repo­si­to­ries einer belie­bi­gen Shell-Befehls­aus­füh­rung und Remo­te-Code-Aus­füh­rung aus.

Die bestä­tig­ten Angriffs­pfa­de kon­zen­trie­ren sich auf drei pri­mä­re Mecha­nis­men. Bös­ar­ti­ge Repo­si­to­ries kön­nen spe­zi­ell gestal­te­te ‘.claude/settings.json‘-Dateien ein­bet­ten, um das Hooks-Sys­tem von Clau­de aus­zu­lö­sen und beim Sit­zungs­start vom Angrei­fer kon­trol­lier­te Shell-Befeh­le aus­zu­füh­ren. Ein sepa­ra­ter Bypass der Benut­zer­zu­stim­mung ermög­licht es nicht ver­trau­ens­wür­di­gen Ver­zeich­nis­sen, Werk­zeu­ge auto­ma­tisch zu initia­li­sie­ren und belie­bi­ge Befeh­le ohne zusätz­li­che Bestä­ti­gung aus­zu­füh­ren. Ein drit­ter Angriffs­vek­tor umfasst Prompt-Injec­tion über Git­Hub-Actions-Work­flows, wobei bös­ar­ti­ge Anwei­sun­gen direkt in den LLM-Kon­text ein­ge­fügt wer­den und eine Code­aus­füh­rung inner­halb von CI/CD-Pipe­lines erreicht wird.

Spe­zi­ell gestal­te­te ‘claude-cli://‘-Deeplinks stel­len einen wei­te­ren Injek­ti­ons­pfad dar, der in der Lage ist, die loka­len Clau­de-Code-Ein­stel­lun­gen eines Opfers zu ver­än­dern und aus der Fer­ne bös­ar­ti­ge Aus­füh­run­gen aus­zu­lö­sen. Clau­de Desk­top wur­de in einer sepa­ra­ten Offen­le­gung eben­falls als Trä­ger einer kri­ti­schen Remo­te-Code-Aus­füh­rungs­lü­cke mit einem CVSS-Wert von 10 iden­ti­fi­ziert, die mit einem erwei­te­rungs­be­zo­ge­nen Pro­blem zusammenhängt.

Ein umfas­sen­de­res Angriffs­mus­ter namens Sym­Jack ver­stärkt das Risi­ko durch den Miss­brauch ver­trau­ens­wür­dig erschei­nen­der Datei­ope­ra­tio­nen. Die Tech­nik prä­sen­tiert der Geneh­mi­gungs­schnitt­stel­le einen harm­los wir­ken­den Datei­ko­pi­vor­gang, wäh­rend das tat­säch­li­che Schreib­ziel vom Angrei­fer kon­trol­liert wird, wodurch die sicht­ba­ren Bestä­ti­gungs­schrit­te voll­stän­dig umgan­gen wer­den. Beim Neu­start wird der Angrei­fer­code unter den Sys­tem­pri­vi­le­gi­en des Opfers ausgeführt.

Die prak­ti­sche Kon­se­quenz über die­se Vek­to­ren hin­weg ist die direk­te Ände­rung von Quell­da­tei­en auf der loka­len Arbeits­sta­ti­on, ohne dass eine her­kömm­li­che Mal­wa­re-Über­tra­gung erfor­der­lich ist. Kom­pro­mit­tier­te Kon­fi­gu­ra­ti­ons­än­de­run­gen blei­ben sit­zungs­über­grei­fend bestehen, indem Pro­jekt­ein­stel­lun­gen und das Start­ver­hal­ten ver­än­dert wer­den. Das MCP Model Con­text Pro­to­col ermög­licht es Clau­de Code, auto­nom mit exter­nen Werk­zeu­gen und Diens­ten zu inter­agie­ren, wodurch die Angriffs­flä­che über loka­le Datei­ope­ra­tio­nen hin­aus erwei­tert wird.

Check Point ver­gab einen CVSS-Wert von 8,7 für die Pro­ble­me mit dem Zustim­mungs-Bypass und nicht ver­trau­ens­wür­di­gen Ver­zeich­nis­sen, kata­lo­gi­siert als CVE-2025–59536, beho­ben in Clau­de Code Ver­si­on 1.0.111 im Okto­ber 2025. Eine sekun­dä­re Schwach­stel­le zur Infor­ma­ti­ons­of­fen­le­gung, CVE-2026–21852, erhielt eine CVSS-Bewer­tung von 5,3 und wur­de in Ver­si­on 2.0.65 im Janu­ar 2026 behoben.

Quellenangabe

• https://cyberpress.org/claude-code-rce-vulnerability/
• https://adversa.ai/blog/the-approval-prompt-is-lying-to-you-symlink-rce-in-five-ai-coding-agents-claude-code-cursor-antigravity-copilot-grok-build/
• https://thehackernews.com/2026/02/claude-code-flaws-allow-remote-code.html
• https://venturebeat.com/security/six-exploits-broke-ai-coding-agents-iam-never-saw-them
• https://ransomleak.com/blog/ai-coding-assistant-security-risks/
• https://www.youtube.com/watch?v=C56d0bqstGE
• https://cyberpress.org/security-flaw-in-claude/
• https://adversa.ai/blog/claude-code-security-bypass-deny-rules-disabled/
• https://www.htx.com/news/data-theft-at-will-major-vulnerability-exposed-in-this-popul-Hq22vVKh/
• https://venturebeat.com/security/anthropic-claude-code-security-reasoning-vulnerability-hunting