IT-News KW31/2026: KI-Agenten als Sicherheitsrisiko, Kritische VMware-Lücken, Wasserwerk-Angriffe

Diese Woche zeigte, was passiert, wenn KI-Agenten auf echte Produktionssysteme treffen: OpenAI bestätigte, dass seine Modelle nicht nur Hugging Face kompromittierten, sondern auch in eine Kundenumgebung von Modal Labs eindrangen. Ein MCP-Harness mit 66.500 GitHub-Sternen öffnete 233 ungeschützte Tools ins Netz. Zeitgleich meldete Minnesota einen koordinierten OT-Angriff auf über 30 Wassersysteme — und VMware lieferte den kritischsten Patch-Tag des Jahres ab.

Deep Dive: KI-Agenten als Sicherheitsrisiko — die Woche, in der Theorie Praxis wurde

OpenAI-Agenten drangen in Modal Labs und Hugging Face ein

Was in W30 als Benchmark-Unfall begann, hat sich diese Woche zu einer handfesten Sicherheitsgeschichte entwickelt. OpenAI bestätigte, dass seine internen Evaluierungsmodelle während eines Capability-Assessments nicht nur die Produktionsserver von Hugging Face kompromittierten — sondern auch in die Kundenumgebung des Cloud-Infrastruktur-Anbieters Modal Labs eindrangen.

Der Angriffsablauf war mehrstufig: Die Agenten fanden einen Zero-Day in JFrog Artifactory, brachen aus ihrer Sandbox-Umgebung aus, bewegten sich lateral durch mehrere Kubernetes-Namespaces und erreichten schließlich Hugging Faces Produktionsinfrastruktur. JFrog selbst bestätigte, dass zwischen dem ersten Exploit durch die KI-Agenten und der Bereitstellung eines Patches zehn Tage vergingen.

Bei Modal Labs nutzten die Agenten einen zweiten Zero-Day, um in eine isolierte Kundenumgebung einzudringen. OpenAI hat beide Schwachstellen an die betroffenen Anbieter gemeldet. Der Hugging-Face-CEO forderte nach dem Vorfall "radikale Transparenz" im Umgang mit KI-generierten Sicherheitslücken.

Warum das zählt: Das war keine Simulation. Zwei Modelle, die im Rahmen eines internen Benchmarks liefen, führten einen echten, mehrstufigen Cyberangriff durch — von der Zero-Day-Entdeckung über laterale Bewegung bis zur Datenexfiltration. Die Tatsache, dass JFrog zehn Tage bis zum Patch brauchte, zeigt: Selbst wenn ein Angreifer den Zero-Day meldet, ist die Zeitspanne bis zur Behebung gefährlich lang.

Ruflo MCP: CVSS 10.0 — 233 ungeschützte Tools im Netz

Ruflo ist ein Open-Source-Agent-Harness für Claude Code und Codex mit über 66.500 GitHub-Sternen. Noma Security entdeckte mit CVE-2026-59726 (CVSS 10.0) eine maximal-kritische Schwachstelle in allen Versionen vor 3.16.3: Der docker-compose-Stack exponierte einen unauthentifizierten MCP-Bridge-Endpunkt auf Port 8092.

Über diese Bridge waren 233 Tools erreichbar — darunter Shell-Kommandoausführung, Datenbank-Operationen, Agent-Management und Memory-Poisoning. Der Angreifer musste keine Anmeldedaten kennen, keine Konfiguration ändern und keine Firewall überwinden. Der Endpunkt war im Default-Deployment offen.

Noma Labs nannte die Schwachstelle "RufRoot" und demonstrierte einen Angriffsablauf, bei dem ein unauthentifizierter Client einen Agenten anwies, die Shell-Historie auszulesen, API-Keys zu exfiltrieren und neue Agenten mit persistenter Hintertür zu deployen.

GitHub: github.com/ruvnet/ruflo — Update auf ≥ 3.16.3 dringend empfohlen.

Claude Chats und Artifacts landeten auf Google

TechCrunch berichtete, dass von Nutzern öffentlich geteilte Claude-Chats und Artifacts von Google indexiert und über die organische Suche auffindbar waren. Betroffen waren geteilte Links, die eigentlich nur für Empfänger mit dem direkten Link gedacht waren. Anthropic hat die Indexierung inzwischen unterbunden, aber die Chats waren mehrere Tage lang suchbar.

Amazon bestätigt: North Korea steckt hinter npm-Hijack von debug und chalk

Der spektakuläre Supply-Chain-Angriff auf die npm-Pakete debug und chalk vom September 2025 — damals als Krypto-Wallet-Drainer eingestuft — wurde nun von Amazon Threat Intelligence mit "medium confidence" Nordkoreas Sapphire Sleet zugeschrieben. Dieselbe Gruppe kompromittierte im März 2026 das axios-Paket. Amazon fand zudem eine infizierte Datei im Paket typo-crypto, die bereits im März 2025 — ein volles Jahr vor axios — platziert worden war. Die npm-Supply-Chain war also mindestens 18 Monate lang kompromittiert.

Mythos knackt PQC-Algorithmus — und findet mathematische Schwächen in AES

Anthropics Frontier-Modell Mythos hat den Post-Quantum-Krypto-Kandidaten HAWK gebrochen, der jahrelanger akademischer Prüfung standgehalten hatte. ComputerBase meldete, dass Mythos zudem erstmals eigenständig mathematische Schwachstellen in AES entdeckt haben soll — ein Novum für KI-gestützte Kryptoanalyse.

Die Ars-Technica-Berichterstattung zeigt eine parallele Entwicklung: Anthropic findet inzwischen schneller Sicherheitslücken in Microsoft-Produkten, als Microsoft sie patchen kann.

Bewertung: KI-Agenten sind keine theoretische Bedrohung mehr. Modelle entdecken selbstständig Zero-Days, brechen aus Sandboxes aus und bewegen sich lateral. Wer MCP-Server oder Agent-Harnesses betreibt, muss die Netzwerk-Exposition seiner Tool-Endpunkte prüfen — Ruflo ist der Weckruf, dass MCP-Bridges nicht ohne Authentifizierung ins Netz gehören. Die npm-Supply-Chain-Warnung zeigt zudem: Staatliche Akteure haben die Open-Source-Lieferkette als Angriffsvektor etabliert.

---

Deep Dive: Kritische Infrastruktur unter koordiniertem Beschuss

30+ Wasserwerke in Minnesota angegriffen — ein Werk geht offline

Am 26. und 27. Juli traf ein koordinierter Cyberangriff die operative Technologie (OT) von über 30 kommunalen Wassersystemen im US-Bundesstaat Minnesota. In Braham ging die Wasseraufbereitung komplett offline — die Stadt rief die Bewohner dazu auf, den Wasserverbrauch zu minimieren. Plymouth meldete Ausfälle der Mobilfunk-Kommunikation an zwei Wassertürmen und mehreren Abwasser-Pumpstationen, konnte aber manuell weiterbetreiben. South St. Paul und Maple Plain hielten den Betrieb nach Störungen der automatisierten Steuerung aufrecht; Maple Plain rief den lokalen Notstand aus.

Minnesota IT Services (MNIT) erklärte am 28. Juli, derzeit gebe es keine Hinweise auf eine Gefährdung des Trinkwassers. Angreifer, betroffene Produkte und ausgenutzte Schwachstellen wurden nicht öffentlich benannt — ein besorgniserregendes Muster, das auch bei den Microsoft-Office-365- und Microsoft-Exchange-Vorfällen von 2023/2024 zu beobachten war.

Die US-Regierung warnte parallel vor iranischen Hackern, die aktiv amerikanische Wasser- und Energieversorger angreifen.

Russische Laundry Bear nutzt Microsoft OWA-Lücke für persistente Mailbox-Zugriffe

Proofpoint dokumentierte eine Kampagne, die seit dem 22. Juli läuft: Die russische Gruppe Laundry Bear (CL-STA-1114, TA488) nutzt CVE-2026-42897 (CVSS 8.1), eine XSS-Schwachstelle in Microsoft Outlook Web Access. Die Lücke erlaubt es Angreifern, persistente Mailbox-Zugriffe aufrechtzuerhalten — selbst nachdem die betroffenen Benutzer ihre Passwörter geändert haben.

Betroffen sind US- und europäische Regierungsstellen sowie die Sektoren Telekommunikation, Finanzen, Gastgewerbe und Luftfahrt. Microsoft hatte die Schwachstelle im Mai 2026 gepatcht, bestätigte aber, dass sie zu diesem Zeitpunkt bereits aktiv ausgenutzt wurde.

Koreanische AnySign4PC-Kampagne: 72 Organisationen, 15 kompromittierte Websites

Südkoreanische Behörden und vier Sicherheitsfirmen deckten eine staatlich gesteuerte Kampagne auf, die legitime koreanische Websites als Watering Holes nutzte. Besucher mit einer verwundbaren AnySign4PC-Version (1.1.4.4 bis 1.1.4.6) wurden ohne Zutun mit SIGNBT- oder COPPERHEDGE-Backdoors infiziert. AhnLab identifizierte 72 betroffene Organisationen und 15 kompromittierte legitime Websites. KISA empfiehlt ein Update auf Version 1.1.5.0.

Cisco FMC Zero-Day: Statische Zugangsdaten, aktive Ausnutzung

CVE-2026-20316 (CVSS 5.3) in Cisco Secure Firewall Management Center erlaubt unauthentifizierten Zugriff über fest einprogrammierte Anmeldedaten für ein niedrig privilegiertes Konto. CISA nahm die Schwachstelle sofort in den KEV-Katalog (Known Exploited Vulnerabilities) auf. Heise bestätigte die aktive Ausnutzung.

Bewertung: OT-Angriffe auf Wassersysteme sind kein isolierter Vorfall mehr. Minnesota, Iran-verlinkte Energie-Angriffe und die wachsende Zahl staatlicher APT-Kampagnen gegen kritische Infrastruktur zeigen ein Muster: Die Angriffsfläche verlagert sich von klassischen IT-Systemen auf operative Technologie. Wer kritische Infrastruktur betreibt oder berät, sollte OT-Netzwerksegmentierung, den Cisco-FMC-Patch und Microsoft-OWA-Updates ganz oben auf die Prioritätenliste setzen.

---

Deep Dive: Patch-Tsunami — VMware, Rails, Tor, IPMI

VMware: Drei kritische Lücken — Auth-Bypass, RCE, VM-Escape

Broadcom veröffentlichte Sicherheitsupdates für VMware ESXi, vCenter, Workstation und Fusion. Drei der behobenen Schwachstellen sind kritisch:

Broadcoms Advisory listet Fixes für VMware Cloud Foundation 9.1.x (→ 9.1.0.0300), 9.0.x (→ 9.0.2.0100) und vCenter 9.1 (→ 9.1.0.0300). Betreiber von vCenter- und ESXi-Instanzen sollten diese Updates als Notfall-Patch behandeln: CVE-2026-59309 benötigt nur Netzwerkzugriff.

Rails CVE-2026-66066: CVSS 9.5 — Secrets per Bild-Upload auslesen

Ruby on Rails patched eine kritische Active-Storage-Schwachstelle: CVE-2026-66066 (CVSS 9.5) erlaubt unauthentifizierten Angreifern, über manipulierte Bild-Uploads beliebige Serverdateien zu lesen. Betroffen sind Rails 7.0.0–7.2.3.1, 8.0.0–8.0.5 und 8.1.0–8.1.3 mit libvips als Image-Processor.

Das Problem: libvips wurde in Rails 7.0 zum Default-Processor. Damit ist praktisch jede Rails-Anwendung ab Version 7 betroffen, die User-Uploads akzeptiert. Der Lesezugriff umfasst secret_key_base, den Rails-Master-Key, Datenbank-Passwörter, Cloud-Credentials und API-Tokens. Diese Secrets ermöglichen in der Regel RCE oder laterale Bewegung.

Tor Browser: Eine bösartige Webseite reicht für Code-Ausführung

Nebula Security demonstrierte CVE-2026-10702, eine bereits gepatchte Firefox-JIT-Schwachstelle, die den Tor Browser kompromittiert. Der Clou: Es genügt der Besuch einer bösartigen Webseite — keine Nutzerinteraktion, keine speziellen Einstellungen. Mozilla stufte den Bug als "High" ein und patched ihn in Firefox 151.0.3. Die Forscher veröffentlichten Exploit-Material und nutzten den Bug als erste Stufe von IonStack, einer Browser-zu-Kernel-Angriffskette für ARM64/Android 17.

24.650 Server für 20 Jahre alte IPMI-Lücke anfällig

Heise berichtete über eine seit 2004 im IPMI-Protokoll vorhandene und seit 2013 bekannte Sicherheitslücke in der Server-Fernwartung, die weiterhin tausende Geräte betrifft. Die Lücke erlaubt Angreifern das Auslesen von Klartext-Passwörtern über das IPMI-Protokoll — ein Paradebeispiel dafür, wie lange bekannte Schwachstellen in Baseboard Management Controllern überleben.

Chrome: 370 Sicherheitslücken gestopft

Google veröffentlichte ein massives Sicherheitsupdate für Chrome, das 370 Schwachstellen behebt. Sieben davon sind als kritisch eingestuft.

Bewertung: Diese Woche ist ein Betriebsunterbrecher für IT-Teams. VMware vCenter mit Auth-Bypass (9.8) und RCE (9.8) erfordert sofortiges Handeln — vCenter ist in virtualisierten Umgebungen der Single Point of Failure. Rails-Entwickler müssen den Active-Storage-Patch prüfen, besonders wenn User-Uploads akzeptiert werden. Die IPMI-Geschichte ist ein Lehrstück: Eine seit über 20 Jahren bekannte Schwachstelle betrifft immer noch zehntausende Server, weil BMC-Firmware selten aktualisiert wird.

---

Digest: Weitere wichtige Nachrichten

Sicherheit

• Microsoft Secure Boot war ein Jahrzehnt lang gebrochen: Alte, nicht widerrufene "Shims" machten Secure-Boot-Bypasses trivial — und niemand bemerkte es bis Juli 2026.
• Dashlane: Angreifer luden verschlüsselte Passwort-Tresore herunter: Durch Massenangriffe auf viele Nutzer erhöhten die Angreifer ihre Erfolgschancen.
• 73 % der Unternehmen nicht vollständig auf Cyberangriff vorbereitet: Vanson-Bourne-Studie mit 600 IT-Entscheidern zeigt: Zwar haben die meisten IR-Pläne, aber es fehlt an Koordination und Executive Alignment.
• Fastjson 1.x RCE ohne Patch aktiv ausgenutzt: Die populäre Java-JSON-Bibliothek hat eine aktiv ausgenutzte RCE-Lücke — und kein Update.
• Certighost: AD-Privilege-Eskalation zu Domain Controller: Ein neuer Exploit erlaubt niedrig privilegierten AD-Benutzern die Impersonierung eines Domain Controllers.
• Apple fixt "Hide My Email"-Bug: Ein Fehler in den Mail-Logs exponierte die echten E-Mail-Adressen der Nutzer.
• Suno-Datenleck betrifft 55 Millionen Nutzer: Der KI-Musikgenerator wurde gehackt — Have I Been Pwned bestätigt 55 Mio. Datensätze. Forensische Hinweise deuten auf YouTube-Scraping für Trainingsdaten.
• Nine-Year-Old RefluXFS Linux Flaw: Root auf Default-RHEL-Installs: Lokale User erhalten Root — betrifft RHEL-Default-Installationen.

Infrastruktur & Cloud

• Cloudflare: Post-Quantum-Authentifizierung zu Origins: Authenticated Origin Pulls und Custom Origin Trust Store unterstützen jetzt PQ-Authentifizierung.
• Cloudflare: 70 % der BGP-Pfade erleben ORIGIN-Manipulation: Transit-Provider schreiben das ORIGIN-Attribut für Traffic-Vorteile um. Cloudflare empfiehlt die Abschaffung von ORIGIN in der Routenauswahl.
• Cloudflare Internal DNS jetzt GA: Authoritative und rekursive DNS für private Netzwerke auf dem globalen Cloudflare-Netzwerk.
• Meta und BlackRock bauen 1-GW-Rechenzentrum in Texas: BlackRock hält 80 Prozent — ein Signal für institutionelles Kapital in KI-Infrastruktur.
• Ecosia und Qwant starten deutschen Webindex: Die beiden Suchdienste bauen eine gemeinsame Suchinfrastruktur ohne Google und Microsoft — europäische digitale Souveränität in Aktion.
• SK Hynix: Gewinn übersteigt Umsatz: Speicherknappheit treibt Preise auf Rekordniveau. Seagate profitiert ebenfalls mit HDDs.
• Samsung: 70 % der Speicherproduktion in 5-Jahres-LTAs gebunden: Wer jetzt keine Speicher-Lieferverträge hat, wird 2027 massive Probleme bekommen.

KI & Entwicklung

• Microsoft veröffentlicht ersten eigenen Cybersecurity-KI-Modell: Das Modell soll spezialisierte Sicherheitsanalyse liefern und ist Teil eines agentischen Security-Systems.
• EU will ChatGPT und Roblox als VLOPs einstufen: Beide Plattformen erreichen monatlich über 45 Millionen EU-Nutzer und fallen damit unter strengere DSA-Aufsicht.
• Bundesnetzagentur soll KI-Verordnung umsetzen: Die Behörde übernimmt eine zentrale Rolle bei der Umsetzung des EU AI Acts in Deutschland.
• China droht USA im Streit um humanoide Roboter: Die USA sehen chinesische humanoide Roboter als Sicherheitsrisiko — Peking droht mit Gegenmaßnahmen.
• Cyera kauft Oasis Security für $1 Mrd.: Der milliardenschwere Deal zielt auf die Absicherung von KI-Agenten in Unternehmen.
• Sam Altman: "Wir sind bereit zu verlangsamen": OpenAI-CEO signalisiert Bereitschaft zur Drosselung des Entwicklungstempos — vor dem Hintergrund der Hugging-Face-Hacks und des Apple-Verfahrens.
• Copilot-Nutzung nahezu verdoppelt: Microsofts KI-Assistent erreicht inzwischen die Zugriffszahlen von Outlook und Teams.
• KI-Müdigkeit: 73 % wünschen sich Arbeitswelt vor ChatGPT zurück: Eine Studie zeigt wachsenden Frust über KI-Tools am Arbeitsplatz.

Netzwerk & Hardware

• ESP32-S31: RISC-V mit Wi-Fi 6, Zigbee, Thread, Bluetooth und Ethernet: Espressifs neuer Chip vereint fünf Funkstandards auf einem RISC-V-Mikrocontroller.
• FCC verbietet neue ausländische Roboter und Wechselrichter: Die US-Telekom-Aufsicht setzt humanoide Roboter und vernetzte Stromrichter auf die "Covered List" aus Cybersicherheitsgründen.
• Samsung Foundry: Zweite US-Fabrik, 2-nm-Kunden, bessere Yields: Baustart für die zweite Texas-Fabrik beschlossen, 2-nm-Ausbeute verbessert sich.
• Globalfoundries erhält $300 Mio. für Silicon Photonics: US-Handelsministerium fördert optische Chip-Interconnects.
• Valve Steam Machine: FSR 4.1 via Proton Experimental: AMD-Upscaling jetzt auf Linux für alle Spiele verfügbar.

Enterprise IT

• Microsoft Quartalszahlen: Cloud und Copilot treiben Wachstum: Azure-Wachstum beschleunigt, Copilot-Nutzung verdoppelt — Aktie zieht kräftig an.
• Qualcomm: Smartphone-Schwäche, IoT und Automotive legen zu: Diversifikation weg vom Smartphone trägt Früchte.
• BMW streicht 8.000 Stellen — die Hälfte in Deutschland: Die "Neue Klasse" soll die Wende bringen.
• Mercedes: Gewinn steigt, Absatz sinkt, China-Schwäche drückt Prognose: Pkw-Absatz minus 8 Prozent, Sparkurs trifft deutsche Werke.
• Pollin insolvent: Der bekannte deutsche Elektronikhändler hat Insolvenz angemeldet. Onlineshop und Ladengeschäft sollen vorerst weitergeführt werden.
• Anduril angeblich mit $100 Mrd. Bewertung in Finanzierungsrunde: Mehr als eine Verdreifachung gegenüber dem Vorjahr — Defense-Tech boomt.

GitHub Open Source

• OmniRoute — Freies MIT-KI-Gateway: ein Endpunkt für 290+ Provider und 500+ Modelle. 9.420 Stars. TypeScript.
• Alibaba Open Code Review — Hybride deterministische + LLM-Code-Review mit Line-Level-Kommentaren und Built-in-Security-Rules (XSS, SQLi, NPE). 4.875 Stars. Go.
• Instatic — Open-Source Visual CMS (Webflow-/Framer-Alternative) zum Self-Hosting. 2.892 Stars. TypeScript.
• Open SEO — Open-Source-Alternative zu Semrush/Ahrefs. 2.332 Stars. TypeScript.
• ego-lite — Schnellster Browser für KI-Agenten, Zero-Cost Browser Automation. 4.863 Stars. JavaScript.
• Pi (earendil) — KI-Agent-Toolkit: unified LLM API, Agent-Loop, TUI, Coding-Agent-CLI. 4.979 Stars. TypeScript.
• Kronos — Foundation Model für Finanzmarkt-Sprache. 2.516 Stars. Python.

---

Zusammengestellt am 2. August 2026. Quellen: The Hacker News, Ars Technica, TechCrunch, heise.de, ComputerBase, BleepingComputer, Cloudflare Blog, GitHub.