Wie am Montag angekündigt, hat das n8n-Team nun drei neue Versionen für seine beliebte Low-Code-Plattform veröffentlicht. Diese beheben sechs Sicherheitslücken, von denen zwei kritisch sind und die Ausführung von Code aus der Ferne (Remote Code Execution) ermöglichen.

Die Lücken sind:

Keine der Lücken hat derzeit eine CVE-ID, weswegen wir die Github-eigenen GHSA-Identifikatoren verwenden.

Patches in drei Versionsbäumen

Immerhin ist keine der beiden RCE-Lücken für nicht angemeldete Nutzer ausnutzbar, doch sollten Administratoren selbst gehosteter n8n-Instanzen Patches zügig einspielen.

Die gepatchten Versionen sind:

• Für Versionsbaum 1.x: 1.123.33
• Für den „Stable“-Versionsbaum: 2.17.5
• Für den „Beta“-Versionsbaum: 2.18.1

n8n ist ein beliebtes Werkzeug zur Prozessautomatisierung, kann aber auch für Security Operations genutzt werden. Das Projekt wird seit Monaten von schweren Sicherheitslücken geplagt, die von Angreifern aktiv ausgenutzt werden.

(cku)

Im jüngsten Firefox-Update wurden 271 Lücken geschlossen, die das Entwicklungsteam des Browsers mithilfe des neuen KI-Modells Claude Mythos Preview von Anthropic gefunden hat. Das hat Mozilla jetzt mitgeteilt und erklärt, dass für ein gehärtetes Produkt wie den eigenen Browser jede einzelne dieser Schwachstellen einen roten Alarm gerechtfertigt hätte. Trotzdem sei die Arbeit mit dem KI-Modell – auf das offiziell nur wenige Firmen Zugriff haben, die an IT-Sicherheit arbeiten – eine hoffnungsvolle gewesen, versichert das Team. Im ewigen Kampf zwischen den Angreifern und Verteidigern im IT-Bereich hätten letztere dank des Durchbruchs bei der KI-Entwicklung endlich die Möglichkeit zu gewinnen – „und zwar entscheidend“.

Von „komplett unfähig“ zu „genauso leistungsfähig“ wie die besten Menschen

Anthropic hat Mythos vor zwei Wochen vorgestellt und dazu erklärt, dass das Modell so gefährlich sei, dass es nur Firmen zur Verfügung gestellt wird, die an IT-Sicherheit arbeiten. Das KI-Modell habe schon tausende hochriskante Zero-Day-Lücken identifiziert. Gleichzeitig sei die KI-Technik deutlich häufiger in der Lage, einen funktionierenden Exploit für solche Lücken zu entwickeln, teilweise würden dafür sogar mehrere in Verbindung miteinander ausgenutzt. Deshalb hätten nur Firmen Zugriff darauf bekommen, die das Werkzeug nutzen können, um die IT-Sicherheit zu verbessern. Inwieweit es sich dabei um ehrliche Sorge, clevere PR oder gar eine Beschränkung handelt, die darauf beruht, dass Anthropics Ressourcen für eine Freigabe gar nicht ausreichen, darüber wird aktuell fleißig diskutiert.

Das Firefox-Team von Mozilla gehört nun zu den ersten, die Erfahrungen mit Mythos gesammelt haben und öffentlich machen. Es arbeitet seit Februar 2026 mit Anthropic, die Suche mit dem Modell Opus 4.6 hatte bereits 22 sicherheitsrelevante Bugs in Firefox 148 zutage gefördert. In dem Blogeintrag zur Veröffentlichung der Firefox-Version 150 schreibt die Gruppe jetzt, dass sie seit Langem im Stillen anerkannt habe, dass die Zahl ausnutzbarer Sicherheitslücken nie auf Null gedrückt werden könnte. Man habe aber versucht, Zero-Day-Exploits so teuer zu machen, dass nur Akteure mit unbegrenzten Mitteln darauf Zugriff haben und diese nicht gegen „normale“ Nutzer und Nutzerinnen einsetzen würden. Zu dieser Einschätzung sei man gelangt, weil Angreifer einen asymmetrischen Vorteil hätten. Die Angriffsfläche etwa bei einem Browser sei zwar nicht unendlich, aber groß genug, um die Verteidigung mit existierenden Werkzeugen sehr schwer zu machen.

Bislang seien nur wenige Menschen in der Lage gewesen, durch die zeitaufwendige Analyse von Quellcode Sicherheitslücken zu finden. Computer seien dazu bis vor wenigen Monaten „komplett unfähig“ gewesen und bei Firefox habe man jahrelange Erfahrung damit, die Arbeit dieser Experten und Expertinnen zu analysieren. Anthropics Mythos Preview sei jetzt mit einem Mal „genauso leistungsfähig“ wie diese ganz wenigen Menschen: „Bis jetzt haben wir keine Kategorie oder Komplexität von Sicherheitslücken gefunden, die Menschen aufdecken können, die dieses Modell nicht aufdecken kann“, schreibt das Team. Das klinge zwar erschreckend, aber gleichzeitig habe man festgestellt, dass Mythos keine Lücken gefunden habe, die ein Spitzenforscher nicht hätte finden können.

„Wir betreten eine neue Welt“

Vorhersagen, dass KI-Modelle künftig völlig neue Formen von Lücken finden können, die unser bisheriges Verständnis übersteigen, teilt man bei Firefox deshalb nicht: „Die Fehler sind endlich, und wir betreten eine Welt, in der wir sie endlich alle finden können.“ Während man bei Firefox damit die behauptete Leistungsfähigkeit von Mythos bestätigt, ist das ein erster Hinweis auf die möglichen Folgen für die IT-Sicherheit. Bei Mozilla geht man tatsächlich davon aus, dass sich mit KI-Hilfe alle Schwachstellen und alle Angriffspunkte finden lassen. Das wäre ein enormer Gewinn für die IT-Sicherheit. Ob sich das bewahrheitet, muss sich aber erst noch zeigen. Das Update für Firefox wird automatisch installiert, es lässt sich aber auch per Klick auf „Über Firefox“ im Menü „Hilfe“ anstoßen.

Siehe auch:

• Firefox: Download schnell und sicher von heise.de
• Firefox ESR: Download schnell und sicher von heise.de

(mho)

Kunden mit Online-Konto bei der Parfümeriekette müssen sich insbesondere vor möglichem Phishing in Acht nehmen. Der Anbieter informiert derzeit Kunden in E-Mails über einen IT-Vorfall, bei dem Unbefugte Mitgliederdaten heruntergeladen haben.

Rituals stellt auf der Webseite aber auch eine FAQ mit einigen Informationen bereit. Demnach sind personenbezogene Daten davon betroffen: Vollständiger Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht und Wohnanschrift nennt das Unternehmen. Nicht betroffen seien hingegen Passwörter oder Zahlungsinformationen.

Einbruch im April

Der Vorfall ereignete sich „im April“, genauere Informationen liefert Rituals nicht. Zwar hat das Unternehmen Untersuchungen eingeleitet, um anhand der Ursachen zu ergreifende Maßnahmen zu bestimmen und die zuständigen Behörden informiert. Details, etwa durch welche Sicherheitslücke sich Cyberkriminelle Zugang zu den Daten verschafft haben, nennt Rituals jedoch nicht.

Immerhin hat Rituals eigenen Angaben zufolge keine Kenntnis davon, dass die kopierten Daten veröffentlicht wurden. Das will das Unternehmen jedoch weiterhin „genau beobachten“. Auf den üblichen Darknet-Leakseiten findet sich zum Meldungszeitpunkt kein Hinweis auf dieses Datenleck und dessen Verursacher.

Kunden können und müssen nichts machen, erklärt der Anbieter. Sie sollten jedoch wachsam gegenüber Phishing sein. Zudem lässt sich mit den Daten unter Umständen auch Identitätsdiebstahl betreiben. Wer das eigene Konto nun löschen wolle, könne das Kontaktformular nutzen und dort den Punkt „Recht auf Löschung meiner personenbezogenen Daten“ auswählen.

Auch die Modekette Zara ist jüngst Opfer eines IT-Vorfalls mit Datenleck geworden. Dort hat die kriminelle Vereinigung ShinyHunters Daten kopiert und am heutigen Mittwoch im Darknet veröffentlicht.

(dmk)