Drei kritische Schwachstellen im populärsten KI-Framework der Welt geben Angreifern unabhängige Wege, Unternehmensgeheimnisse abzuschöpfen. Ein China-naher Bedrohungsakteur hat Sleeper-Zellen auf Kernel-Ebene tief in Telekom-Infrastruktur eingebettet. Ein neuer macOS-Infostealer nutzt Nuitka-kompiliertes Python zur Erkennungsvermeidung. Und die TeamPCP-Lieferkettenkampagne zielt nun mit Audio-Steganographie auf das Telnyx-PyPI-Paket.
Cyera-Sicherheitsforscher Vladimir Tokarev hat drei unabhängige Schwachstellen in LangChain und LangGraph offengelegt — den Open-Source-KI-Frameworks mit über 84 Millionen PyPI-Downloads pro Woche. Jede Lücke exponiert eine andere Klasse von Unternehmensdaten: Dateisystem-Dateien, Umgebungsgeheimnisse und Konversationsverläufe.
| CVE | CVSS | Typ | Auswirkung |
|---|---|---|---|
CVE-2026-34070 | 7.5 | Path Traversal | Beliebiges Datei-Lesen über die Prompt-Loading-API — keine Validierung der Template-Pfade |
CVE-2025-68664 | 9.3 | Deserialisierung | Leakt API-Schlüssel und Umgebungsgeheimnisse, indem die App Eingaben als serialisiertes LangChain-Objekt behandelt |
CVE-2025-67644 | 7.3 | SQL-Injection | Beliebige SQL-Abfragen gegen LangGraphs SQLite-Checkpoint-Datenbank über Metadaten-Filterschlüssel |
CVE-2025-68664 (CVSS 9.3) erlaubt einem Angreifer, per Prompt-Injection alle API-Schlüssel und Umgebungsvariablen aus dem LangChain-Deployment abzusaugen. Es ist eine „LangGrinch“-Variante, die Cyata erstmals im Dezember 2025 identifizierte — jetzt mit bestätigtem Ausnutzungspfad.
„LangChain existiert nicht isoliert“, warnte Cyera. „Es sitzt im Zentrum eines riesigen Abhängigkeitsnetzes, das sich über den gesamten KI-Stack erstreckt. Hunderte Bibliotheken wrappen LangChain, erweitern es oder hängen davon ab.“ Steckt eine Schwachstelle im LangChain-Kern, pflanzt sie sich durch jede nachgelagerte Bibliothek, jeden Wrapper und jede Integration fort, die den verwundbaren Codepfad erbt.
Die Offenlegung folgt nur Tage auf CVE-2026-33017 in Langflow, die binnen 20 Stunden nach Veröffentlichung aktiv ausgenutzt wurde — mit derselben Grundursache: unauthentifizierte Codeausführung.
langchain-core ≥1.2.22langchain-core 0.3.81 oder 1.2.5langgraph-checkpoint-sqlite 3.0.1Rapid7 hat eine langfristige Spionagekampagne aufgedeckt, die Red Menshen zugeschrieben wird (auch getrackt als Earth Bluecrow, DecisiveArchitect, Red Dev 18) — einem China-nahen Bedrohungsakteur, der sich seit mindestens 2021 tief in Telekom-Netzen im Nahen Osten und Asien eingenistet hat.
Rapid7 beschrieb die verdeckten Zugriffsmechanismen als „einige der getarntesten digitalen Sleeper-Zellen“, die je in Telekommunikationsnetzen angetroffen wurden.
Die Kernwaffe ist BPFDoor, eine Linux-Backdoor, die auf Kernel-Ebene arbeitet und die Berkeley-Packet-Filter-(BPF)-Funktionalität missbraucht. Anders als konventionelle Malware:
BPFDoor liefert nicht nur Backdoor-Zugriff — es fungiert als im Telekom-Backbone eingebettete Zugriffsschicht und gibt dem Bedrohungsakteur langfristige, geräuscharme Sicht auf kritische Netzoperationen. Die SCTP-Fähigkeit deutet auf das Potenzial hin, Zielpersonen über Teilnehmerdaten zu verfolgen.
Red Menshen greift für den Erstzugriff internetzugewandte Infrastruktur von Ivanti, Cisco, Juniper, Fortinet, VMware, Palo Alto Networks und Apache Struts an. Zum Post-Compromise-Werkzeugkasten gehören CrossC2-Beacon-Frameworks, Sliver, TinyShell-Unix-Backdoors, Keylogger und Brute-Force-Utilities für Credential-Harvesting und laterale Bewegung.
Eine bislang undokumentierte BPFDoor-Variante versteckt Trigger-Pakete in scheinbar legitimem HTTPS-Verkehr und führt einen neuartigen Parsing-Mechanismus ein — die Erkennung in modernen Unternehmensumgebungen wird dadurch noch schwerer.
Malwarebytes hat die erste macOS-Kampagne dokumentiert, die ClickFix-Social-Engineering mit einem Nuitka-kompilierten Python-Infostealer kombiniert — eine signifikante Evolution der macOS-Bedrohungen.
update-check[.]com und sieht eine gefälschte Cloudflare-CAPTCHA-Verifizierungcurl-Befehl ins macOS-Terminal einzufügen.env, Konfigurationsdateien)Warum Nuitka wichtig ist: Anders als PyInstaller (das Python mit Bytecode bündelt) kompiliert Nuitka Python zu C-Code und erzeugt ein echtes natives Binary. Es gibt keine offensichtliche Bytecode-Schicht zum Dekompilieren — Reverse Engineering und statische Analyse werden deutlich schwerer.
Der Bedrohungsakteur TeamPCP — bereits berüchtigt für Lieferkettenangriffe auf Trivy, KICS und litellm — hat nun das Telnyx-Python-Paket auf PyPI kompromittiert. Zwei bösartige Versionen (4.87.1 und 4.87.2) wurden am 27. März 2026 veröffentlicht; die Credential-Diebstahl-Funktionalität steckt per Steganographie in einer .WAV-Audiodatei.
telnyx/_client.py injiziert, ausgeführt beim ImportSofort downgraden auf Telnyx-Version 4.87.0. Das PyPI-Projekt ist derzeit unter Quarantäne. Alle Systeme untersuchen, die die Versionen 4.87.1 oder 4.87.2 bezogen haben — auf Anzeichen von Credential-Diebstahl.
Mehrere Sicherheitsfirmen — Aikido, Endor Labs, JFrog, Ossprey Security, SafeDep, Socket und StepSecurity — haben die Analyse bestätigt. Die Malware zielt auf Windows-, Linux- und macOS-Systeme.
| Bedrohung | Schweregrad | Maßnahme |
|---|---|---|
| LangChain CVE-2025-68664 | KRITISCH (9.3) | langchain-core auf 0.3.81 oder 1.2.5 patchen |
| LangChain CVE-2026-34070 | HOCH (7.5) | langchain-core auf ≥1.2.22 patchen |
| LangGraph CVE-2025-67644 | HOCH (7.3) | langgraph-checkpoint-sqlite auf 3.0.1 patchen |
| Red Menshen / BPFDoor | KRITISCH | Auf BPF-basierte Anomalien in Telekom-/Enterprise-Linux jagen |
| Infinity Stealer (macOS) | HOCH | update-check[.]com blockieren; Terminal-Paste-Aktivität überwachen |
| Telnyx PyPI (TeamPCP) | KRITISCH | Auf 4.87.0 downgraden; auf Credential-Diebstahl auditieren |
Tägliche Cybersecurity-Intelligence direkt in Ihren Feed. Die KENSAI Security Briefings decken die Schwachstellen, Angriffe und Bedrohungsakteure ab, auf die es ankommt.
Alle Briefings lesen →Veröffentlicht von KENSAI Security Intelligence · 30. März 2026, 05:00 CET
Quellen: Cyera, Rapid7, Malwarebytes, The Hacker News, BleepingComputer, SecurityWeek