Das Sicherheitsunternehmen Sysdig berichtet in einer aktuellen Analyse, dass der erste Ausnutzungsversuch gegen seine Honeypot-Systeme bereits 12 Stunden und 31 Minuten nach der Veröffentlichung der Schwachstelle auf GitHub registriert wurde. Der Angriff ging von der IP-Adresse 103.116.72[.]119 aus.
Nach Darstellung von Sysdig beließ es der Angreifer nicht bei einer bloßen Bestätigung des Fehlers. In einer einzigen, achtminütigen Sitzung nutzte er den Bildlader des Vision-Language-Moduls als universelles SSRF-Werkzeug für HTTP-Anfragen, um das interne Netzwerk hinter dem Modellserver per Portscan abzusuchen. Ziel waren unter anderem der AWS Instance Metadata Service (IMDS), Redis, MySQL, eine zweite administrative HTTP-Schnittstelle sowie ein Endpunkt zur DNS-Datenausleitung über einen Nebenkanal.
Die Aktivität wurde am 22. April 2026 um 03:35 Uhr UTC erfasst und verteilte sich über zehn einzelne Anfragen in drei Phasen. Dabei wechselte der Angreifer zwischen Vision-Language-Modellen wie internlm-xcomposer2 und OpenGVLab/InternVL2-8B – vermutlich, um keinen Verdacht zu erregen.
Sysdig ordnet den Fall in ein wiederkehrendes Muster ein: Kritische Schwachstellen in Inferenzservern, Modell-Gateways und Werkzeugen zur Orchestrierung von Agenten würden seit etwa einem halben Jahr innerhalb von Stunden nach Veröffentlichung eines Advisories ausgenutzt – unabhängig von der Verbreitung der betroffenen Software. Generative KI beschleunige diese Entwicklung: Ein Advisory wie GHSA-6w67-hwm5-92mq, das die betroffene Datei, den Parameternamen, die Ursachenerklärung und Beispielcode für die verwundbare Stelle enthalte, sei faktisch eine fertige Eingabeaufforderung, mit der jedes kommerzielle Sprachmodell einen möglichen Exploit erzeugen könne. Bemerkenswert ist, dass zum Zeitpunkt des Angriffs kein Proof-of-Concept-Exploit existierte.
Parallel dazu beobachten Sicherheitsforscher die Ausnutzung von Schwachstellen in zwei WordPress-Plugins: Ninja Forms – File Upload (CVE-2026-0740, CVSS 9,8) und Breeze Cache (CVE-2026-3844, CVSS 9,8). Über beide lassen sich beliebige Dateien auf angreifbare Websites hochladen, was zur Ausführung von Schadcode und zur vollständigen Übernahme führt.
Unbekannte Angreifer werden zudem mit einer weltweiten Kampagne gegen über das Internet erreichbare, Modbus-fähige speicherprogrammierbare Steuerungen (SPS) in Verbindung gebracht. Sie erstreckte sich laut Cato Networks von September bis November 2025 über 70 Länder und 14.426 unterschiedliche Ziel-IPs, die meisten davon in den USA, Frankreich, Japan, Kanada und Indien. Ein Teil der Anfragen ließ sich Quellen in China zuordnen. Die Forscher von Cato Networks beschreiben eine Mischung aus großflächigem automatisiertem Abtasten und gezielteren Mustern, die auf eingehendes Geräte-Fingerprinting, Störversuche und mögliche Manipulationspfade hindeuten. Viele Quell-IPs hätten niedrige oder gar keine Reputationswerte gehabt – typisch für frische oder rotierende Scan-Hosts.