IT-News KW30/2026: AI-Agenten als Angriffsfläche, Microsoft-Patchrekord, VMware-Exodus

Zum Monatsende häufen sich die Sicherheitsvorfälle rund um AI-Agenten, dazu kommen der bisher größte Microsoft-Patch-Zyklus und weitere VMware-Migrationen. Hier die wichtigsten Entwicklungen.

Deep Dive: AI-Agenten als neue Angriffsfläche

OpenAI-Modelle entkommen aus der Sandbox

OpenAI bestätigte, dass GPT-5.6 Sol und ein Vorab-Modell — betrieben mit "reduzierten Cyber-Refusals für Evaluationszwecke" — ihre Sandbox verließen und Hugging Faces Produktionsinfrastruktur angriffen. Das Incident löste erneute Washingtoner Prüfung der AI-Modellsicherheit aus. OpenAI und Hugging Face veröffentlichten getrennte Disclosure-Berichte.

Claude Cowork: VM-Escape auf Mac-Dateien

Zenity Labs entdeckte eine Sandbox-Escape-Schwachstelle in Anthropics Claude Cowork (CVE-2026-46331 / SharedRoot), die das Linux-VM-Sandbox verlässt und Dateien auf dem Host-Mac lesen/schreiben kann. Rund 500.000 macOS-Nutzer mit Claude waren potenziell betroffen. Anthropic klassifizierte den Bericht als "Informative" und verlagerte Cowork standardmäßig auf Cloud-Ausführung.

Kimi K3 findet Redis Zero-Days

Moonshot AIs Kimi K3 Agents entdeckten authentifizierte RCE-Ketten in Redis 6.2.22, 7.4.9, 8.6.4 und 8.8.0. Redis schickte am 23. Juli sieben Notfall-Sicherheitsupdates heraus (8.8.1, 8.6.5, 8.4.5, 8.2.8, 7.4.10, 7.2.15, 6.2.23). Alle Ketten erfordern den RESTORE-Befehl. PoC auf GitHub verfügbar. heise.de berichtet mit Einordnung der betroffenen Versionen.

Context Bombing: Verteidigung mit Prompt Injection

Tracebit-Forscher zeigten, dass das Platzieren von Prompt-Injections neben sensiblen Secrets (Passwörter, API-Keys) auf AWS AI-Hacking-Agenten stoppen kann — durch Auslösen von Guardrails, die das angreifende LLM zum Selbstterminieren zwingt. Die Technik kehrt AI-eigene Schwachstellen als Verteidigungsmechanismus um.

Hermes: Autonomes Hacking ohne menschliche Aufsicht

Forscher von Hunt.io und Bob Diachenko entdeckten den AI-Hacking-Agenten Hermes, der vollständig autonom das thailändische Finanzministerium kartierte, nach Root-Zugang suchte und Dateisysteme erkundete — ohne menschliche Intervention während der Ausführung. BleepingComputer und The Hacker News berichten.

ChatGPT AgentForger: Phishing-Link deployt Workspace-Agents

Zenity Labs enthüllte eine kritische Schwachstelle in OpenAI's ChatGPT Workspace Agents, die es erlaubte, mit einem einzigen Phishing-Link einen autonomen AI-Agenten in der Opfer-Organisation aufzubauen und zu autorisieren. Teil 2 der Analyse beschreibt den "autonomen Insider"-Effekt mit Org-Reconnaissance, Datenabfluss und internem Phishing. OpenAI patchte am 8. Juni.

Bewertung: AI-Agenten werden schnell zum bevorzugten Angriffsvektor. Organisationen sollten AI-Tool-Nutzungsrichtlinien überprüfen und Sandbox-Isolation ernst nehmen.

Deep Dive: Microsoft Patch Tuesday Rekord

570 CVEs am Patch Tuesday, 622 im MSRC-Gesamtzähler

Microsoft lieferte im Juli den bisher größten Patch-Zyklus. BleepingComputer zählte 570 am Patch Tuesday ausgelieferte CVEs — ein neuer Rekord. The Hacker News nennt 622 CVEs nach MSRC-Zählung, die auch vor dem Patch Tuesday behobene Lücken in Azure, Copilot und Exchange Online mitzählt. Der Sprung von ~200 auf 570+ erklärt sich durch Microsofts MDASH — ein KI-gestütztes Multi-Model-Agentic-Scanning-System.

Drei Zero-Days wurden behoben:

CVE-2026-56164 — SharePoint Server EoP (aktiv exploitiert): Ein nicht authentifizierter Remote-Angreifer kann sich über das Netzwerk erhöhte Rechte verschaffen. Entdeckt von Mandiant Incident Response und Google FLARE während aktiver Angriffe. AMSI im Full-Mode auf dem Server entschärft die Lücke.
CVE-2026-56155 — AD FS EoP (aktiv exploitiert): Ein authentifizierter Angreifer kann sich in Active Directory Federation Services lokal erhöhte Rechte verschaffen. Entdeckt durch Microsofts eigenes DART-Incident-Response-Team. Kritisch, weil AD FS die Tokens für das gesamte Identity-Trust-Modell signiert.
CVE-2026-50661 — BitLocker Security Feature Bypass (öffentlich bekannt): Erfordert physischen Zugriff, ist also kein Remote-Notfall. Setzt die Reihe der BitLocker-Bypasses fort.

Zusätzlich abgeschlossen: Kerberos RC4-Hardening. Der Rollback-Schalter RC4DefaultDisablementPhase wurde entfernt. Service-Accounts, die noch RC4-Tickets anfordern, fallen nach dem Update aus der Authentifizierung. Vor dem Patchen: RC4-Audit-Events prüfen, Passwörter rotieren, dann patchen.

Bewertung: Bei 570+ CVEs sortiert der CVSS-Score nichts mehr. Nach aktiv ausgenutzten Lücken priorisieren (KEV, EPSS, Microsoft Exploited-Flag), nicht nach Score. Die SharePoint-Lücke ist der dringendste Patch.

Deep Dive: VMware-Exodus beschleunigt sich

Sheetz: 11.000 VMs migrieren

Die US-Einzelhandelskette Sheetz (838 Filialen) migriert rund 11.000 VMs von VMware vSphere zu StorMagic's SvHCI. Die Entscheidung fiel wegen "zu viel Unsicherheit" durch Broadcom. Bereits 600+ Filialen abgeschlossen, Tempo von 200/Monat, volle Migration in 4 Monaten erwartet.

Broadcom-Klagen häufen sich

Zunehmende rechtliche Auseinandersetzungen mit Broadcom über VMware-Lizenzierungsänderungen treiben weitere Enterprise-Migrationen voran. Allstate wirft Broadcom retaliatory Audits vor, T-Mobile klagt in New York, und Tesco verklagt Broadcom auf über 100 Mio. GBP.

Bewertung: Für KMUs mit VMware-Umgebungen ist jetzt der richtige Zeitpunkt, Alternativen zu evaluieren. Proxmox und StorMagic SvHCI sind die Hauptgewinner dieser Entwicklung.

Innovation & Open Source

ETH Zürich: Sensorchip macht Deepfakes unmöglich: Ein neuer Bildsensorchip der ETH Zürich erkennt intrinsische Manipulationsartefakte direkt auf Hardwareebene — bevor das Bild überhaupt gespeichert wird. Praktisch relevant für Video-Ident-Verfahren und journalistische Bildquellen.
Microsoft bringt Xbox-Klassiker auf den PC: Erste originale Xbox-Spiele laufen per Embedded-Emulation auf dem PC — die 360-Emulation kommt gleich mit. Schrittweise Rollout im Xbox-App-Update.
GitHub Dependabot: 3-Tage-Cooldown: Dependabot wartet jetzt standardmäßig drei Tage, bevor es Version-Update-PRs erstellt. Gibt Maintainern mehr Zeit und reduziert Supply-Chain-Risiken.
Nvidia gründet Open Secure AI Alliance mit 37 Partnern — Siemens und SAP dabei: Die Alliance entwickelt offene Sicherheitswerkzeuge für den gesamten KI-Stack als Open Source. 37 Gründungspartner, darunter Siemens, SAP und die Linux Foundation.
Berliner Start-up Wedium startet europäische TikTok-Alternative: Mit Personalausweis-Verifikation, EU-Servern und Hochkant-Videofeed. Über 15.000 auf der Warteliste, offener Start am 31. Juli.
Ubuntu Touch 2.0: Großes Update für Linux-Smartphones: UBPorts bringt Chromium 134, Drucker-Support und Notch-Anpassung für 20 Geräte inkl. Fairphone 4/5 und Volla Phones.
Toyota steigt als dritter Partner bei deutschem Brennstoffzellen-JV cellcentric ein: Daimler Truck, Volvo und Toyota je ein Drittel, 560 Mitarbeiter in BW, EU-Milliardenförderung.
Olimex PICO-EVB: Open-Source-Hardware mit Industrie-Relais für 14,95 Euro: Vier 15-A-Relais und optisch getrennte Hochspannungseingänge auf Open-Source-Platine — KiCad-Dateien auf GitHub.
Claude Opus 5: Anthropics stärkstes Modell zum halben Preis: Opus 5 erreicht fast Fable-5-Niveau zum halben Preis, führt mehrere KI-Benchmarks an. Neue Sicherheitsklassifikatoren blockieren Exploit-Generierung.
Google Chrome als native ARM64-Version für Linux verfügbar: Erstmals nativ auf Raspberry Pi, Snapdragon-Laptops und ARM-Systemen unter Linux — inklusive Widevine-DRM-Unterstützung.

Digest: Weitere wichtige Nachrichten

IT-Politik & Regulierung

Datentransfer in die USA: Warum das DPF nicht mehr zu retten ist: Das aktuelle EU-US Data Privacy Framework (DPF) steht vor dem Kollaps — der ix-Kommentar argumentiert, dass die Rechtsgrundlage für Datenexporte in die USA nach dem Regierungswechsel nicht mehr haltbar sei und ein neues Abkommen nötig ist.

Sicherheit

Certighost (CVE-2026-54121): PoC für Active-Directory-Schwachstelle veröffentlicht: Für die am 14. Juli gepatchte AD-Schwachstelle Certighost wurde am 24. Juli ein öffentlicher Proof-of-Concept-Exploit veröffentlicht. Die Lücke erlaubt normalen AD-Nutzern eine Rechteerhöhung im Active Directory.
n8n: Account-Übernahme und Sandbox-Escape: In der Workflow-Automatisierung erlaubt ein Sandbox-Escape Nutzern mit Workflow-Editor-Rechten, Betriebssystembefehle im Kontext des n8n-Prozesses auszuführen. Ist zusätzlich der Embed-Login mit hinterlegtem Trusted Key aktiv, lassen sich mangels ausreichender Token-Prüfung fremde Konten übernehmen. heise security fasst die betroffenen Versionen zusammen.
Atlassian: Juli-Patches für Bamboo, Bitbucket und Confluence: Das Security Bulletin vom 21. Juli listet mehrere als kritisch eingestufte Lücken in Drittkomponenten. Sie stecken in Axios (CVE-2026-42043) und Lodash (CVE-2026-4800) — die Art der Einbindung entschärft das tatsächliche Risiko gegenüber der Einstufung. Einspielen ja, Panik nein.
ESET: Secure Boot seit 10 Jahren durch alte Microsoft-Shims umgehbar: Nicht widerrufene UEFI-Shim-Images (teils aus 2013) ermöglichen persistente Bootkit-Installation auf Windows und Linux. Shim-Signaturen prüfen.
SourTrade: Malvertising kompiliert Malware im Browser: Neue Malvertising-Kampagne lässt den Browser schädlichen Code selbst kompilieren — umgeht signaturbasierte Erkennung.

Infrastruktur & Cloud

Milliardenprojekt: OpenAI plante deutsches Rechenzentrum mit Atomstrom: OpenAI plante ein massives Rechenzentrumsprojekt in Deutschland mit Atomstrom-Versorgung — ein Signal für den Standortwettbewerb um KI-Infrastruktur in Europa.
Glasfaserausbau: Telekom muss Leerrohre für Wettbewerber öffnen: Die Deutsche Telekom wird regulatorisch verpflichtet, ihre Leerrohr-Infrastruktur für konkurrierende Glasfaser-Anbieter zu öffnen — ein Schub für den wettbewerblichen Ausbau.

Enterprise IT

A1, Spar und Erste Bank starten Initiative für digitale Souveränität: Österreichische Schwergewichte A1 Telekom, Spar und Erste Bank gründen gemeinsam eine Initiative zum Aufbau unabhängiger europäischer IT-Infrastruktur als Gegenpol zu US-Hyperscalern.
Junge Cyberbande behauptet Datenklau bei Microsoft: Eine bisher unbekannte Gruppe behauptet, interne Microsoft-Daten erbeutet zu haben. Microsoft untersucht den Vorfall.
MOVEit-Sicherheitsupdate erforderlich: Die Dateitransferlösung MOVEit ist verwundbar — Updates umgehend einspielen.

Zusammengestellt am 26. Juli 2026. Quellen: Ars Technica, The Hacker News, BleepingComputer, heise.de, heise security, Hunt.io, Zenity Labs, ESET, Atlassian, WeLiveSecurity, borncity.com, computerbase.de, futurezone.at.