Cisco-Quellcode über Trivy-Lieferkettenangriff gestohlen, KI-entdeckte Vim-&-Emacs-RCE-Zero-Days, kritische GIGABYTE-Lücke CVE-2026-4415, Venom-Stealer-Persistenz

Cisco erleidet einen massiven Einbruch, nachdem die Trivy-Lieferketten-Kompromittierung über 300 Repositories offenlegte — einschließlich KI-Produkt-Quellcode und Kundendaten. Claude AI entdeckt Zero-Click-RCE-Schwachstellen in Vim und Emacs. Die kritische Lücke im GIGABYTE Control Center erreicht CVSS 9.2. Venom Stealer führt persistentes Credential-Harvesting ein. Google senkt die Quantenanforderungen zum Brechen von Kryptowährungs-Verschlüsselung um das 20-Fache.

🔴 Cisco über Trivy-Lieferkette kompromittiert — über 300 Repos gestohlen

Cisco hat einen erheblichen Einbruch in seine interne Entwicklungsumgebung bestätigt — als direkte Folge des laufenden Lieferkettenangriffs auf den Trivy-Schwachstellenscanner. Die Angreifer nutzten gestohlene Zugangsdaten aus der kompromittierten Trivy-GitHub-Actions-Pipeline, um in Ciscos Build- und Entwicklungsinfrastruktur einzudringen.

Angriffskette

• Einstiegsvektor: Ein bösartiges GitHub-Action-Plugin aus der Trivy-Kompromittierung lieferte Credential-stehlende Malware aus
• Laterale Bewegung: Gestohlene AWS-Schlüssel wurden für unautorisierte Aktivitäten in Cisco-AWS-Konten genutzt
• Umfang: Dutzende Entwickler- und Labor-Workstations betroffen
• Attribution: Verknüpft mit der Bedrohungsgruppe TeamPCP, verantwortlich für eine Serie von Lieferkettenangriffen auf GitHub, PyPI, NPM und Docker
• Fortlaufendes Risiko: Weitere Folgen der nachgelagerten LiteLLM- und Checkmarx-Lieferkettenangriffe werden erwartet

Cisco hat betroffene Systeme isoliert, mit dem Neuaufsetzen begonnen und rotiert Zugangsdaten in großem Umfang. Vermutlich waren mehrere Bedrohungsakteure mit unterschiedlicher Aktivität beteiligt.

Maßnahmen für Verteidiger

• Alle CI/CD-Pipelines auf Trivy-, LiteLLM- und Checkmarx-KICS-Abhängigkeiten auditieren
• Alle Zugangsdaten rotieren, die über GitHub-Actions-Workflows exponiert gewesen sein könnten
• AWS-CloudTrail-Logs auf unautorisierte API-Aufrufe unbekannter Principals prüfen
• GitHub Actions auf konkrete Commit-SHAs pinnen, nicht auf Tags

🧠 Claude AI entdeckt RCE-Zero-Days in Vim und Emacs

In einer eindrucksvollen Demonstration KI-gestützter Schwachstellenforschung nutzte der Sicherheitsforscher Hung Nguyen von Calif Anthropics Claude, um Remote-Code-Execution-Schwachstellen in Vim und GNU Emacs zu entdecken — zwei der am weitesten verbreiteten Texteditoren im Linux-Ökosystem.

Vim: RCE beim Datei-Öffnen (gepatcht)

• Auslöser: Öffnen einer speziell präparierten Datei mit bösartigen Modeline-Anweisungen
• Ursache: Fehlende Sicherheitsprüfungen in der Modeline-Verarbeitung kombiniert mit einem Sandbox-Bypass
• Auswirkung: Beliebige Befehlsausführung mit den Rechten des Vim-Benutzers
• Betroffen: Alle Vim-Versionen ≤ 9.2.0271
• Fix: Sofort auf Vim 9.2.0272 aktualisieren

GNU Emacs: vc-git-RCE (ungepatcht)

• Auslöser: Öffnen einer Datei in einem Verzeichnis mit bösartiger .git/config und präpariertem core.fsmonitor-Eintrag
• Ursache: Die Versionskontroll-Integration von Emacs führt Git-Operationen automatisch aus, ohne gefährliche Konfigurationsoptionen zu neutralisieren
• Status: Ungepatcht — die GNU-Emacs-Maintainer sehen die Verantwortung bei Git
• Gegenmaßnahme: Äußerste Vorsicht beim Öffnen von Dateien aus nicht vertrauenswürdigen Quellen oder heruntergeladenen Archiven

🔴 Kritische Lücke im GIGABYTE Control Center — CVE-2026-4415 (CVSS 9.2)

Eine kritische Arbitrary-File-Write-Schwachstelle im GIGABYTE Control Center (GCC) erlaubt entfernten, unauthentifizierten Angreifern, Dateien an beliebige Orte des Betriebssystems zu schreiben — mit der Folge von Codeausführung, Privilegienerhöhung oder Denial of Service.

GCC ist auf allen GIGABYTE-Laptops und -Mainboards vorinstalliert — die Exponierung ist entsprechend breit. Die Schwachstelle steckt im „Pairing“-Feature, über das das Tool mit anderen Geräten im Netzwerk kommuniziert. Organisationen sollten die neueste Version ausschließlich über GIGABYTEs offizielles Software-Portal beziehen.

🕷️ Venom Stealer: kontinuierliches Credential-Harvesting im großen Stil

Sicherheitsforscher warnen vor Venom Stealer, einer lizenzierten Malware-as-a-Service-Plattform, die eine gefährliche Evolution des Infostealings einführt: kontinuierliches Credential-Harvesting mit eingebauter Persistenz und Automatisierung.

Anders als klassische Stealer, die einmalig zugreifen und exfiltrieren, hält Venom Stealer dauerhaften Zugriff auf kompromittierte Systeme und saugt fortlaufend ab:

• Im Browser gespeicherte Zugangsdaten und Session-Cookies
• Kryptowährungs-Wallet-Daten und private Schlüssel
• Anwendungs-Tokens und API-Schlüssel
• Zwischenablage-Überwachung auf sensible Daten

Das MaaS-Lizenzmodell senkt die Einstiegshürde für weniger versierte Angreifer und ermöglicht breite Verbreitung ohne tiefes technisches Wissen.

⚛️ Google senkt Quantenanforderungen zum Brechen von Krypto-Verschlüsselung um das 20-Fache

Google-Forscher haben Ergebnisse veröffentlicht, wonach das Brechen der Verschlüsselung hinter Bitcoin und Ethereum 20-mal weniger Quantencomputing-Qubits erfordert als bislang geschätzt. Praktische Quantenangriffe auf Kryptowährungen bleiben zwar Jahre entfernt — die Forschung beschleunigt den Zeitplan jedoch dramatisch.

📋 Kurzmeldungen

• CrewAI-Sandbox-Ausbruch: Schwachstellen im KI-Agenten-Framework CrewAI erlauben Angreifern, Prompt-Injection mit einem Sandbox-Ausbruch zu verketten und beliebigen Code auf Host-Systemen auszuführen
• OpenAI-Codex-GitHub-Token-Kompromittierung: Eine kritische Schwachstelle in OpenAI Codex hätte zur Kompromittierung von GitHub-Tokens ausgenutzt werden können — inzwischen gepatcht
• Datenpanne bei Lloyds Banking: Ein fehlerhaftes Software-Update legte die Transaktionen von 450.000 Mobile-Banking-Nutzern gegenüber anderen App-Nutzern offen
• StrongSwan-VPN-Integer-Underflow: Eine aus der Ferne ausnutzbare Lücke betrifft StrongSwan-Releases aus 15 Jahren und erlaubt unauthentifizierten Angreifern, VPN-Gateways zum Absturz zu bringen
• Android-Entwickler-Verifizierung: Google beginnt mit der verpflichtenden Entwickler-Verifizierung vor der September-Durchsetzung in Brasilien, Indonesien, Singapur und Thailand

🛡️ Empfohlene Maßnahmen

1. Lieferketten-Audit: Alle CI/CD-Abhängigkeiten auf Trivy-, LiteLLM-, Checkmarx- und Axios-npm-Pakete prüfen — potenziell exponierte Zugangsdaten rotieren
2. Vim sofort patchen: Auf Version 9.2.0272 aktualisieren, um die Datei-Öffnen-RCE zu schließen
3. GIGABYTE Control Center aktualisieren: Auf GCC 25.12.10.01 upgraden und Pairing deaktivieren, falls nicht benötigt
4. Auf Venom-Stealer-IOCs achten: Endpoint-Detection auf kontinuierliche Exfiltrationsmuster und persistente Infostealer-Aktivität prüfen
5. Post-Quanten-Planung: Mit der Bewertung der NIST-Post-Quanten-Standards für die kryptographische Migration beginnen
6. KI-Agenten-Sicherheit: CrewAI- und ähnliche KI-Agenten-Framework-Deployments auf Prompt-Injection-Exponierung auditieren