Claude Code CVE-2026-39861: Sandbox-Escape durch Symlink-Following
Claude Code-Versionen vor 2.1.64 (npm-Paket @anthropic-ai/claude-code) enthalten eine Sandbox-Escape-Schwachstelle, die als CVE-2026-39861 geführt wird. Das Problem: Die Sandbox verhinderte nicht, dass sandboxierte Prozesse Symlinks erstellen, die auf Orte außerhalb des Arbeitsbereichs verweisen. Wenn der unsandboxierte Prozess von Claude Code später in einen Pfad innerhalb eines solchen Symlinks schrieb, folgte er dem Link und schrieb an das Ziel ohne Benutzerbestätigung.
Wie der Exploit funktioniert
Der Angriff kombiniert zwei Komponenten: einen sandboxierten Befehl, der einen Symlink außerhalb des Arbeitsbereichs erstellt, und die unsandboxierte App, die anschließend in einen Pfad schreibt, der diesen Symlink durchläuft. Keine Komponente allein kann außerhalb des Arbeitsbereichs schreiben – erst die Kombination ermöglicht das Schreiben beliebiger Dateien. Für eine zuverlässige Ausnutzung ist eine Prompt-Injection erforderlich, um die sandboxierte Codeausführung über nicht vertrauenswürdige Inhalte im Claude Code-Kontextfenster auszulösen.
Auswirkung und CVSS
Bewertet als Hoher Schweregrad mit einem CVSS v4-Basiswert von 7,7. Angriffsvektor ist Netzwerk, Komplexität gering, keine Berechtigungen erforderlich, passive Benutzerinteraktion. Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des anfälligen Systems sind alle hoch.
Betroffene und gepatchte Versionen
- Betroffen: alle Versionen vor 2.1.64
- Gepatcht: Version 2.1.64 (veröffentlicht am 20. April 2026)
Benutzer mit standardmäßigem automatischem Update haben den Fix automatisch erhalten. Manuelle Aktualisierer sollten sofort auf die neueste Version aktualisieren.
Was zu tun ist
Wenn Sie Claude Code verwenden, überprüfen Sie Ihre Version mit claude --version und aktualisieren Sie auf ≥2.1.64 über npm update @anthropic-ai/claude-code -g oder den entsprechenden Paketmanager. Beachten Sie auch, dass diese Schwachstelle durch Prompt-Injection ausgelöst werden kann – behandeln Sie nicht vertrauenswürdige Kontextinhalte mit Vorsicht.
📖 Vollständige Quelle lesen: HN AI Agents
👀 Siehe auch
Sicherheitsanalyse von KI-Agenten deckt gebrochenes Vertrauensmodell und hohe Anfälligkeitsraten auf
Eine Sicherheitsanalyse von KI-Agenten zeigt, dass das grundlegende Vertrauensmodell gebrochen ist, wobei 49 % der MCP-Pakete Sicherheitsprobleme aufweisen und indirekte Injektionen Angriffserfolgsraten von 36–98 % bei modernsten Modellen erreichen.
pi-governance: RBAC, DLP und Audit-Logging für OpenClaw-Coding-Agenten
pi-governance ist ein Plugin, das zwischen KI-Codierungsagenten und Ihrem System sitzt, Werkzeugaufrufe klassifiziert und riskante Operationen blockiert. Es bietet Bash-Befehlssperrung, DLP-Scanning für Geheimnisse und PII, rollenbasierte Zugriffskontrolle und strukturierte Audit-Protokollierung ohne Konfiguration.
Sicherheitswarnung für lokale OpenClaw-Instanzen ohne Sandboxing
Ein Reddit-Beitrag warnt davor, dass das lokale Ausführen von ungeschützten OpenClaw-Instanzen ohne ausreichende Isolation zu offengelegten API-Schlüsseln, versehentlichem Löschen von Dateien und Datenlecks führen kann. Die Quelle empfiehlt, Bash-Tools in einer Sandbox auszuführen oder einen verwalteten Dienst zu nutzen.
Sicherheitsaudit stellt fest, dass Anthropics MCP-Referenzserver anfällig sind und auf Halluzinationen basierende Schwachstellen einführen
Eine Sicherheitsprüfung von 100 MCP-Serverpaketen ergab, dass 71 % mit der Note F bewertet wurden, einschließlich der offiziellen GitHub- und Dateisystem-Referenzimplementierungen von Anthropic. Die Prüfung identifizierte Halluzinationsbasierte Schwachstellen, die Sicherheitslücken erzeugen und Tokens durch Denkschleifen verschwenden.