CVE-2026-111322: Die Steuerungs-API des Open-Source-Agenten-Tools Archon lauscht ohne Login auf 0.0.0.0:3090 — CVSS 9,8, bis v0.11.1 ungepatcht — VulnCheck meldete am 15. Oktober CWE-306 (Missing Authentication) für die /api-Endpunkte, die Workflows von Claude Code, Codex und Pi orchestrieren: Wer das Netzsegment erreicht, kann Läufe starten, Nachrichten als Betreiber einschleusen und pausierten Aktionen zustimmen — der Agent läuft mit bypassPermissions. Bis zum 16. Oktober kein Hersteller-Patch; Mitigation: HOST auf 127.0.0.1 setzen oder Auth über Postgres-URL plus BETTER_AUTH_SECRET einschalten. dev.to · Debian Tracker · 🗃 Wayback Machine (Archiv)
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von dev.to. Es erfolgte keine manuelle redaktionelle Bearbeitung.
Einordnung in die Rubrik Die Schattenseiten der Entwicklung
Dieser Beitrag erfüllt ein Kriterium der Rubrik. Belegt ist das durch:
- Sicherheitsvorfall im Titel — „CVE-2026-111322: Die Steuerungs-API des Open-Source-Agenten-Tools Archon lauscht ohne Login auf 0.0.0.0:3090 — CVSS 9,8, bis v0.11.1 ungepatcht“
Kriterien der Rubrik — Sicherheitsvorfall: Angriff, Datenleck, Schwachstelle oder Erpressung. Die Rubrik steht zusätzlich zur Themenspalte: der Beitrag bleibt in seinem Ressort.
Quellen dieses Beitrags: Wayback Machine
Querverweise — andere Meldungen der Rubrik aus demselben Zeitraum oder von derselben Quelle:
- MONST3R-AI rechnet seine Pentest-Scans dem Opfer an: das Panel läuft auf gestohlenen OpenAI-, Anthropic- und Google-Keys
- OpenCode rotiert Provider-Keys nach Console-Einbruch: 1,4 Prozent der Nutzer betroffen — berichtete Fremdbelastungen 400 bis 1.700 Dollar
- ECHO ersetzt den Zustimmungs-Proxy durch Schadensbewertung: 89,23 Prozent Erfolg auf HarmBench und 0,898 im StrongREJECT-Mittel
- Dieselbe Quelle: GitLab stopft eine CVSS-10,0-Lücke in der mitgelieferten Regex-Engine Onigmo — Code-Ausführung vor dem Login auf jeder Version seit 7.0 aus dem Jahr 2014, sieben Fixes auf einen Schlag
- Dieselbe Quelle: PHP2Shell zwingt praktisch jeden Webserver zum Update: zwei unauthentifizierte RCE-Lücken (CVSS 9,2) in PHP ab Version 5.4, Notfall-Patches am 21. Oktober — gefunden mit GPT-5.6 Sol nach zwei Monaten koordinierter Offenlegung
Kalina Digest unterstützen
Lesen bleibt frei. Wer mag, gibt etwas zurück — ab 1 € einmalig, oder als Stufe für einen Monat, ein Quartal oder ein Jahr. Bisher: 5.00 € aus 1 Beiträgen.
