Kurz und knapp: Laut der Meldung vom 13. September 2026 haben drei Sicherheitsforscher bei Hacktron einen Heap-Buffer-Overflow in der Bildbibliothek libheif mit einer SSO-Fehlkonfiguration bei OpenAI kombiniert und damit die ChatGPT-Konten mehrerer OpenAI-Mitarbeiter übernommen; über den mit den Konten verknüpften Codex gelangten sie anschließend in interne Repositories.
Ich bin beim Lesen kurz stehen geblieben, weil die Kette so unspektakulär anfängt. Diese Meldung signieren Harsh Jaiswal, Mohan Pedhapati und Rahul Maini, elf Minuten Lesezeit wie die Quelle angibt, und der Einstieg ist kein Datacenter-Einbruch, sondern ein Bild-Upload im OpenAI-Forum. Da habe ich erst geguckt, ob ich die falsche Meldung auf habe. So läuft es dann: Ein präpariertes Bild landet im Upload, der libheif-Parser stößt auf den Heap-Overflow, und damit sitzt man mit Code Execution auf dem Forenserver. Der eigentliche Sprung nach innen gelingt erst über das SSO: Weil die Anmeldung falsch konfiguriert war, weitete sich der Zugriff auf die ChatGPT-Konten mehrerer Mitarbeiter aus. Diese Konten waren mit Codex verknüpft, und damit war der Weg in interne Repositories frei.
Was hängen bleibt: Jede Stufe für sich klingt banal. Ein Parser-Fehler in einer Bildbibliothek, ein SSO, das mehr hergibt als nötig, Konten, die direkt an internes Tooling drangehängt sind. Erst die Kombination macht daraus den Sprung von einem Forenserver ins interne Repo. Einerseits spricht das für die Qualität der Arbeit, denn die Forscher zeigen das Zusammenspiel sauber auf, und die Meldung listet in ihrer Gliederung auch die betroffenen Versionen sowie Patches. Andererseits ist es ein unangenehmer Fingerzeig, denn vergleichbare Ketten aus Parser, SSO und Tooling stehen in deutlich mehr Systemen, als uns lieb ist.
Wo mir die Fakten ausgehen: wie schnell beide Lücken nach dem Posting tatsächlich geschlossen wurden und ob der Forenserver seither strikter isoliert ist. Davon steht hier jedenfalls nichts, und da rate ich lieber nicht mit.
Den ganzen Bericht kann man auf hacktron.ai nachlesen, inklusive der betroffenen Versionen und der Patches. Und hier ist meine konkrete Frage an euch, als kleines Gedankenexperiment: Wenn heute Abend jemand ein fremdes HEIC-Bild in einen Upload-Dienst eures Stacks legt, der intern per SSO an Repositories oder Coding-Tools hängt, wie weit reicht der Schaden dann? Bei OpenAI endete die Kette in internen Repositories. Ob euer Stack die gleiche Antwort geben würde, wisst nur ihr.