Hacktron veröffentlichte den Bericht am 13. September 2026. Harsh Jaiswal, Mohan Pedhapati und Rahul Maini beschreiben zwei verkettete Schwachstellen, über die sie OpenAIs interne Repositories erreichten. Von der ersten Entdeckung bis zum Repository-Zugriff vergingen weniger als 72 Stunden.

terminal
git pull
./launcher rebuild app

Die erste Lücke lag im Discourse-Forum unter community.openai.com. FastImage unterstützte HEIF-Dateien nicht. Discourse leitete solche Uploads deshalb an ImageMagicks magick-Befehl weiter. Dadurch konnte ein Angreifer den libheif-Parser mit eigenen Dateien erreichen. Hacktron fand einen Heap-Pufferüberlauf mit Out-of-Bounds-Lese- und Schreibzugriffen. Daraus wurde Remote Code Execution. Relevante Debian-Sicherheitskorrekturen fehlten in den eingesetzten Paketen. Das Discourse-Image basierte auf Debian 12 und enthielt libheif 1.19.7. Debian 13 lieferte zu diesem Zeitpunkt libheif 1.19.8. Debian veröffentlichte am 8. August 2026 ein Sicherheitsupdate für Debian 13. Die zugrunde liegende Änderung war im Vorjahr ohne CVE und ohne Kennzeichnung als Sicherheitsfix veröffentlicht worden.

Die Forscher nutzten KI bei der Exploit-Entwicklung. Opus 4.8 erkannte die fehlenden Korrekturen und erzeugte einen funktionierenden ImageMagick- und libheif-Exploit mit deaktiviertem ASLR. Mit aktiviertem ASLR blieb die Zuverlässigkeit zunächst aus. Nach der Veröffentlichung von Claude Opus 5.5 durch Anthropic erzeugte eine neue Sitzung innerhalb von drei Stunden einen ARM64-Exploit für einen lokalen Mac. Danach passte das Team ihn an die x86-64-Umgebung und die jemalloc-Konfiguration von Discourse an. Am 25. Juli um 06:00 UTC war die Codeausführung über einen Bild-Upload lokal bestätigt. Anschließend lief ein autonomer /goal-Prozess gegen eine eigene Discourse-Cloud-Instanz. Über rce.ee/ctf-forum erschien sie für das Modell als CTF-Ziel. Um 10:00 UTC hatte der Agent dort Codeausführung erreicht und den Zugriff mit dem Lesen von /etc/hosts belegt. Der erzeugte Exploit funktionierte danach gegen OpenAIs Instanz.

Der zweite Fehler lag im Sign-in-with-OpenAI-Ablauf. Ein kompromittiertes Forum konnte aktiven Nutzern und Mitarbeitern Zugriff auf ihre ChatGPT- und Codex-Konten geben. Mit diesen Konten konnten verbundene Dienste wie GitHub, Slack und E-Mail erreichbar sein. Die Forscher übernahmen das Codex-Konto eines Mitarbeiters. Es war mit der GitHub-Organisation von OpenAI verbunden. Als harmlosen Nachweis öffneten sie PR #1186742 im internen Monorepo openai/openai. Internen Quellcode lasen sie nicht. OpenAI ließ den Link entfernen. Gegen 15:30 UTC beendete das Team die Tests.

Die erste Remote Code Execution gelang zwischen 05:00 und 06:00 UTC am 25. Juli. Zwischen 08:00 und 10:00 Uhr reichte Hacktron den OpenAI-Bericht über Bugcrowd ein. OpenAI bestätigte die Behebung um 22:49:45 UTC, rund 14 Stunden nach der Meldung. Die Discourse-Lücke meldete Hacktron am selben Tag über HackerOne. Discourse antwortete am 26. Juli, hatte am 27. Juli einen Fix bereit und veröffentlichte am 28. Juli den Hinweis GHSA-vhm9-85gw-x335. Zusätzlich wurde ImageMagick mit Commit a07188016987de1613c961277e2e928aaa7c37ec in einer Sandbox isoliert. Am 1. September zahlte OpenAI 6.500 US-Dollar. OpenAI erklärte, Tests gegen das von Discourse gehostete Forum seien vom eigenen Bug-Bounty-Programm ausgeschlossen gewesen. Die Prämie bezog sich auf den OpenAI-seitigen Fehler.

Hacktron ordnet den Vorfall in das größere Forschungsprojekt HEIF Heist ein. Untersucht wurden libheif-Abhängigkeiten in Slack, Meta, GitHub Enterprise, Ruby on Rails sowie Node.js-Frameworks wie Next.js, Astro und Gatsby. Drei Forscher arbeiteten zwei Monate daran. Die Tokenkosten lagen insgesamt unter 3.000 US-Dollar. Die Anpassung eines Exploits an ein neues Unternehmen dauerte meist ein bis zwei Tage. Nach Angaben des Teams erkannte nur Shopify die Aktivitäten, obwohl Tausende Bilder hochgeladen wurden und die Bildverarbeitung wiederholt abstürzte. Die Modelle halfen auch bei Privilegienausweitung, lateraler Bewegung und dem Umgehen von Schutzmechanismen. Menschliche Anleitung blieb erforderlich.

Die Forscher sehen KI als Faktor, der die Umsetzung von Speicherfehlern in einsatzfähige Angriffe beschleunigt. Beim Wechsel von Opus 5 zu GPT-5.6 Sol beobachteten sie einen weiteren Leistungsanstieg. Die Modelle passten Exploits an, ohne die libheif- oder libc-Version und die Zielumgebung zu kennen. Der Discourse-Weg war laut Hacktron nur eine mögliche Route. Jeder kompromittierte Dienst mit OpenAI-SSO hätte denselben Kontozugriff ermöglichen können.

Betreiber selbst gehosteter Discourse-Installationen sollen ihre Instanz neu bauen, da ältere Docker-Images die anfällige Abhängigkeit enthalten können. Discourse-Cloud-Kunden waren bereits geschützt. Der Bericht empfiehlt aktuelle Sicherheitspakete für libheif und libde265 aus der Distribution oder vom Upstream. Betroffen sein können die Release-Familien 1.19.x, 1.20.x, 1.22.x und 1.23.x. Am 14. September 2026 war v1.23.4 die aktuelle Sicherheitsversion von libheif. v1.23.2 war bereits durch weitere Fixes ersetzt worden. Distributionen können Korrekturen unter älteren Versionsnummern ausliefern. Nicht benötigte HEIF- und AVIF-Verarbeitung sollte deaktiviert werden. Alternativ gehören diese Pipelines in gehärtete, kurzlebige Sandboxes. ImageMagicks Security Policy kann Formate und Ressourcen begrenzen.