Plugin4Shell schleust Schadcode über vier KI-Programmierwerkzeuge ein

Die Schwachstelle Plugin4Shell betrifft Claude Code, OpenAI Codex, GitHub Copilot und Gemini CLI. Manipulierte Erweiterungen laden Schadcode auf Entwicklerrechner und führen ihn ohne weitere Interaktion automatisch aus.

Die Sicherheitsfirma AIR Security entdeckte Plugin4Shell im Mai 2026 und informierte Anthropic, OpenAI, Microsoft sowie Google im Juni. Laut heise online ist bislang kein tatsächlich ausgenutzter Angriff bekannt.

Prüfsumme bleibt ungeprüft

Marktplätze hinterlegen einen 40-stelligen SHA-Fingerabdruck für eine geprüfte Programmversion. Die vier Werkzeuge vergleichen heruntergeladenen Code jedoch nicht mit diesem Wert. Angreifer können deshalb einen gleichnamigen Zweig mit Schadcode anlegen. Beim nächsten automatischen Abruf laden und starten die Werkzeuge diesen Code. Alternativ können Angreifer zunächst selbst eine harmlose Erweiterung veröffentlichen, dadurch einen SHA-Fingerabdruck vom Marktplatz erhalten und später Schadcode hinzufügen.

Der Angriff setzt Marktplätze voraus, die Zweignamen im Format solcher Fingerabdrücke erlauben. GitHub weist diese Namen zurück. Marktplätze auf Bitbucket, GitLab oder selbst betriebenen Git-Servern sind laut AIR Security anfällig.

Anthropic und OpenAI schließen Lücke

Anthropic beseitigte die Schwachstelle mit Claude Code 2.1.179. Diese Version erschien am 16. Juni auf GitHub. AIR bestätigte Anfang August außerdem die Korrektur in OpenAI Codex 0.146.0. Für GitHub Copilot lag noch keine Fehlerbehebung vor. Microsoft hatte nach Angaben der Sicherheitsfirma nicht reagiert.

Gemini CLI bleibt verwundbar

Google bestätigte den Forschern am 4. August, dass die Verbraucherversion von Gemini CLI eingestellt werde. Sie erhält deshalb keine Korrektur. Unternehmenszugänge über Gemini Code Assist oder Google Cloud sind nicht betroffen. Antigravity CLI besitzt laut aktuellem Stand keinen vergleichbaren Mechanismus zur SHA-Fixierung von Marktplatz-Erweiterungen.