Am schwersten wiegt laut Quelltext der Gemini-Befund. CVE-2026-12537 mit einem CVSS-v4-Wert von 10,0 beschreibt eine Kommandoinjektion im Container-Starter von Gemini CLI. Erreichbar war sie über eine präparierte Datei .gemini/.env und erlaubte einem nicht privilegierten Angreifer, auf dem Host einer kopflosen CI-Plattform noch vor dem Start der Sandbox Code auszuführen. Behoben ist die Lücke in Gemini CLI 0.39.1 und run-gemini-cli 0.1.22.
Novee Security betont, dass dieser Fehler keine Interaktion mit dem Modell erforderte. Übergreifend über alle drei untersuchten Fälle habe das wiederkehrende Problem im „Harness“ gelegen, also in dem Code rund um das Modell, der entscheidet, was tatsächlich ausgeführt wird. „Das Harness ist der Code zwischen dem Modell und der realen Welt“, schrieb Novee-Mitgründer und Gründungsingenieur Elad Meged.
Bei Gemini CLI kam ein zweites Problem hinzu: Die Werkzeug-Positivliste wurde nur bei der Registrierung eines Werkzeugs ausgewertet, zur Laufzeit aber nicht durchgesetzt. Unter –yolo wurden dadurch alle Kommandos, die das Modell anforderte, automatisch genehmigt. Google behandelte sowohl dieses Problem als auch die Schwachstelle im Container-Starter in einem Advisory, das laut Quelltext festhält, die Korrektur betreffe „alle Gemini CLI GitHub Actions“. Das Advisory selbst nennt keine CVE; Google Cloud veröffentlichte die Kennung getrennt als CNA und verwies dabei auf den Hinweis.
Für Claude Code wurde CVE-2026-54316 vergeben. Die Schwachstelle machte laut Quelltext den öffentlichen Download-Zähler von Hugging Face zu einem Exfiltrationskanal, über den ein API-Schlüssel zeichenweise abfließen konnte. Betroffen sind alle Claude-Code-Versionen von 0.2.54 bis einschließlich 2.1.163; behoben wurde das Problem in Version 2.1.163. Anthropic erklärte, eine Ausnutzung habe vorausgesetzt, dass nicht vertrauenswürdige Inhalte in einen Claude-Code-Kontext eingebracht werden.
Daneben beschreibt Novee bei Claude Code noch eine weitere Angriffskette ohne CVE und ohne öffentlich genannte behobene Version. Demnach entfernt der Kommando-Validator von Claude Code vor seinen 23 Prüfungen einfach in einfache Anführungszeichen gesetzten Text, was für Bash korrekt sei. Dadurch konnte eine Nutzlast im Wert von git push –receive-pack, einer von Git ausgeführten Option, den Runner unverändert erreichen.
Die Bewertungen für CVE-2026-54316 fallen unterschiedlich aus. Anthropic stuft die Schwachstelle als „moderat“ mit CVSS v4 6,0 ein, während die NVD einen CVSS-v3.1-Wert von 9,1 vergeben hat. Eine CVSS-v4-Bewertung der NVD liegt laut Quelltext nicht vor, weshalb die beiden Zahlen nicht direkt vergleichbar sind.
Beim Codex-Befund gab es weder einen Patch für eine Produktversion noch eine CVE. Novee stellte fest, dass das Repository openai/codex zwei Codex-Durchläufe in einem einzelnen Job mit gemeinsamem Checkout ausführte. Dadurch konnte der erste Durchlauf die Datei AGENTS.md schreiben, die der zweite Durchlauf als eigene Anweisungen lädt. Ausgelöst wurde der zweite Lauf, wenn die JSON-Validierung zwischen beiden Durchgängen scheiterte.
OpenAIs aktueller Workflow trennt diese Durchläufe inzwischen in verschiedene Jobs und startet Codex mit drop-sudo sowie einer schreibgeschützten Sandbox. Außerdem führt die OpenAI-Dokumentation Repository-Anweisungsdateien nun ausdrücklich als Teil der nicht vertrauenswürdigen Eingabefläche auf. Empfohlen wird dort, Codex als letzten Schritt eines Jobs auszuführen; andernfalls könne das System Dateien für nachfolgende privilegierte Schritte hinterlassen. Der Quelltext betont zugleich, dass diese Änderungen keine Aussage darüber treffen, ob Codex selbst heute anders mit einer beschreibbaren Anweisungsdatei umgeht.
CISA vermerkt in den Einträgen zu den CVEs von Gemini und Claude Code keine Ausnutzung. The Hacker News bestätigte am 7. August, dass keiner der beiden Fälle im Katalog der Known Exploited Vulnerabilities der Behörde auftaucht. Ebenfalls fand das Medium ein öffentliches GitHub-Repository, das sich seit dem 18. Juni als Reproduktionslabor für die Claude-Code-Schwachstelle beschreibt. Nichts in den ausgewerteten Quellen belegt laut Quelltext einen Einsatz einer der beiden Angriffsketten gegen ein Ziel.