Claude hat 500 Zero-Days gefunden — auch in deinem Texteditor | FindSkill.ai

Der Prompt, mit dem alles anfing: „Jemand hat mir gesagt, dass es eine Zero-Day-Remote-Code-Execution-Schwachstelle beim Öffnen einer Datei gibt. Finde sie."

Mehr war’s nicht. Das hat ein Forscher in Claude eingetippt. Und Claude hat einen kritischen RCE in Vim gefunden — einem der meistgenutzten Texteditoren der Welt, seit über 30 Jahren im Einsatz — der es einem Angreifer ermöglicht, Code auf deinem Rechner auszuführen, sobald du eine manipulierte Datei öffnest. CVSS-Score: 9,2 von 10.

Danach meinten die Forscher halb im Scherz: „Na gut, dann wechseln wir halt zu Emacs." Claude hat auch dort einen RCE gefunden.

Diese Entdeckungen sind Teil von MAD Bugs (Month of AI-Discovered Bugs), einer Initiative, die im April 2026 läuft und bei der Claude Opus 4.6 autonom über 500 hochkritische Zero-Day-Schwachstellen in produktiver Open-Source-Software gefunden hat. Manche dieser Bugs haben Jahrzehnte menschlicher Experten-Reviews überlebt. Claude hat sie in Stunden gefunden.

Wenn du Vim, Emacs, FreeBSD oder andere Open-Source-Tools nutzt — und das tun die meisten Entwickler — hier ist, was du wissen und tun musst.

Die drei großen Funde

1. RCE in Vim — Datei öffnen, gehackt werden (GEPATCHT)

CVE-2026-34714 | CVSS 9,2 | Gepatcht in Vim 9.2.0272

Die schlimmste Art von Schwachstelle: Sie wird ausgelöst, wenn du eine Datei öffnest. Kein Klicken, kein Ausführen, kein Bestätigungsdialog. Einfach vim bösartige-datei.md und der Angreifer hat Code-Ausführung auf deinem Rechner.

Was du tun musst:

# Version prüfen
vim --version | head -1

# Wenn unter 9.2.0272, sofort aktualisieren:

# macOS
brew upgrade vim

# Ubuntu/Debian
sudo apt update && sudo apt upgrade vim

# Oder als Workaround Modelines deaktivieren:
echo "set nomodeline" >> ~/.vimrc

Ab Vim 9.2.0272 bist du sicher. Die Vim-Maintainer haben schnell reagiert.

2. RCE in Emacs — Immer noch ungepatcht. Ja, wirklich.

Claude hat einen separaten RCE in GNU Emacs über die Versionskontroll-Integration gefunden. Wenn du eine Datei in einem Git-Repository öffnest, führt Emacs automatisch vc-refresh-state aus, was Git-Operationen auslöst. Ein Angreifer kann core.fsmonitor in .git/config missbrauchen, um beliebige Befehle auszuführen.

Die Antwort der Emacs-Maintainer? Sie halten es für Gits Verantwortung, nicht ihre.

Diese Schwachstelle ist weiterhin aktiv.

Was du tun musst:

;; In deine Emacs-Config (~/.emacs oder ~/.emacs.d/init.el):
(setq vc-handled-backends nil)

Deaktiviert die VC-Integration von Emacs — bricht einige Komfort-Features, schließt aber den Angriffsvektor.

3. FreeBSD-Kernel-RCE — Root-Shell in 8 Stunden

CVE-2026-4747 | Remote Kernel Code Execution

Claude hat einen Stack Buffer Overflow in FreeBSDs kgssapi.ko-Kernelmodul gefunden, eine vollständige ROP-Chain gebaut und eine Reverse Root Shell erreicht — alles autonom in ca. 8 Stunden. Forbes titelte: „KI hat gerade eines der sichersten Betriebssysteme der Welt gehackt."

Falls du FreeBSD im Einsatz hast: Kernel-Version prüfen und neueste Sicherheitspatches einspielen.

Warum das für Entwickler in Deutschland relevant ist

Deutsche Entwickler nutzen Vim, Emacs und Open-Source-Tools intensiv. Und gerade im DACH-Raum, wo Datenschutz und IT-Sicherheit nicht nur Buzzwords sind, sondern gesetzliche Anforderungen (DSGVO, IT-Sicherheitsgesetz 2.0), hat diese Nachricht besondere Relevanz.

Die Frage ist nicht mehr abstrakt: „Kann KI Sicherheitslücken finden?" Sondern ganz konkret: „Nutze ich Tools, in denen KI bereits kritische Lücken gefunden hat?"

Was du heute tun kannst:

Öffne ein beliebiges KI-Tool (Claude, ChatGPT, Gemini) und kopiere das hier rein:

📋 Probier das aus — in deinen KI-Chat einfügen:

Prüfe diesen Code auf Sicherheitslücken. Suche nach:
Injection-Risiken, Buffer Overflows, Authentifizierungs-
Umgehungen, Path Traversal und Race Conditions.
Erkläre jeden Fund mit Schweregrad und Behebung.

[deinen Code hier einfügen]

KI fängt nicht alles — aber sie erwischt die offensichtlichen Sachen, die manuelle Reviews oft übersehen, besonders in Code, der seit Jahren läuft und nie frisch auditiert wurde.

Schnell-Checkliste

Vim aktualisieren auf 9.2.0272+ (vim --version prüfen)
Wenn Emacs im Einsatz, (setq vc-handled-backends nil) in die Config
Wenn FreeBSD läuft, neueste Kernel-Sicherheitspatches einspielen
KI-gestützte Sicherheitsprüfung am eigenen Code ausprobieren

Das große Bild

MAD Bugs läuft bis Ende April 2026, mit neuen Veröffentlichungen alle paar Tage. Die 500+ werden weiter wachsen. Mehr Tools, die du nutzt, werden betroffen sein.

Die Grenze hat sich verschoben. KI kann jetzt Bugs finden und ausnutzen, die Jahrzehnte menschlicher Prüfung überstanden haben. Die Frage ist nicht, ob du KI für Sicherheit nutzen wirst — sondern ob du es tust, bevor jemand anderes es gegen dich tut.

Quellen:

Claude hat 500 Zero-Days gefunden — auch in deinem Texteditor