Der Einstieg gelang über ein Bildproblem. Discourse reicht hochgeladene HEIC- und HEIF-Dateien an ImageMagick weiter, das sie mit der Bibliothek libheif liest. Eine speziell präparierte Datei konnte über einen Fehler in libheif den Speicher des Forenservers beschädigen. Die Discourse-Sicherheitsmeldung bewertet das Ergebnis als Remote Code Execution mit 8,8 von 10 Punkten und führt es unter CVE-2026-32882.
Der öffentliche Eintrag zur Lücke selbst fällt enger aus: In der Meldung der libheif-Entwickler und in nationalen Schwachstellendatenbanken ist CVE-2026-32882 ein Lesezugriff außerhalb der Puffergrenzen, der die Software zum Absturz bringen oder angrenzenden Speicher preisgeben kann — keine direkte Codeausführung. Der ausgelesene Speicher hilft jedoch, den Schutzmechanismus ASLR auszuhebeln. Die Forscher kombinierten nach eigenen Angaben mehrere Speicherfehler in libheif mit KI-Unterstützung zu funktionierender Codeausführung auf dem Forenserver.
Behoben wurde die Lücke bereits im Mai 2026 mit libheif 1.22.0. Das Server-Image des Forums, aufgebaut auf Debian 12, lieferte im Juli aber noch die ungepatchte Version 1.19.7 aus, weil Debian den Fix noch nicht in das verwendete Paket übernommen hatte. Wer Discourse selbst betreibt, sollte auf dem aktuellen Image neu aufsetzen — ein Update über die Weboberfläche allein ersetzt die alte Bibliothek möglicherweise nicht. Von Discourse gehostete Seiten waren bereits gepatcht; die korrigierten Selfhosting-Versionen sind 2026.7.0, 2026.6.1, 2026.5.2 und 2026.1.6.
Dass eine Lücke in einem öffentlichen Forum Mitarbeiterkonten erreichen konnte, liegt laut Hacktron nicht an der Forensoftware, sondern an OpenAIs Identitätsverwaltung. Das Forum bietet eine Anmeldung „Mit OpenAI anmelden" an — dasselbe Single Sign-on, das Beschäftigte auch anderswo nutzen. Nach der Kontrolle über den Forenserver ließen sich damit die ChatGPT- und Codex-Konten von Forenmitgliedern übernehmen, die bei OpenAI arbeiten; die Betroffenen mussten nichts tun. Jeder Erst- oder Drittanbieterdienst mit derselben Anmeldung hätte denselben Zugang eröffnet.
Das Team hielt sich zurück: Beim Öffnen der Codex-Verknüpfung eines Mitarbeiters zu OpenAIs Code auf GitHub wurde ein einzelner Pull Request im internen Repository ausgelöst. Quellcode wurde nicht gelesen, nichts zusammengeführt oder ausgeliefert, Kundendaten blieben unberührt. Theoretisch hätte sich der Zugriff auch auf angebundene Dienste wie GitHub, Slack und E-Mail erstrecken können — genutzt wurde das nicht.
Die eigentliche Arbeit übernahm die KI. Claude Opus 4.8 scheiterte über mehrere Sitzungen daran, bei aktiviertem ASLR einen funktionierenden Exploit zu bauen. Am Abend des 24. Juli veröffentlichte Anthropic Claude Opus 5, das in einer frischen Sitzung binnen Stunden einen funktionierenden Exploit lieferte. Die Schutzmechanismen des Modells gegen das Schreiben von Exploit-Code für reale Ziele umgingen die Forscher, indem sie es auf ihren eigenen Testserver richteten, getarnt als Capture-the-Flag-Übungsziel, und es in einer automatisierten Schleife laufen ließen. Vollautomatisches Hacken sei das dennoch nicht gewesen, betonen sie: Kundige menschliche Steuerung blieb entscheidend. Anthropic hat berichtet, dass kriminelle und staatlich gestützte Gruppen Claude-Modelle bereits für reale Einbrüche einsetzen.
OpenAI war nur ein Ziel eines größeren Projekts, das Hacktron „HEIF Heist" nennt. In rund zwei Monaten fand das Team dieselbe Klasse von Bildverarbeitungsfehlern in Software weiterer großer Unternehmen — bei KI-Kosten von unter 3.000 US-Dollar. Genannt werden gemeldete Fehler in Slack, Produkten von Meta, GitHub Enterprise und Web-Frameworks wie Next.js. Die Belege sind ungleich stark: Die Next.js-Lücke ist in Vercels eigener Meldung bestätigt, und die libheif-Entwickler bestätigten einen funktionierenden Codeausführungs-Exploit für den mit Meta verbundenen Fehler. Die weitergehende Behauptung von Codeausführung über viele Anwendungen hinweg ist nicht unabhängig bestätigt — eine Einschränkung, auf die The Hacker News schon bei der ersten Berichterstattung zur Next.js-Lücke hinwies.
Für Ziele, über die das Team vorab nichts wusste, kam ein anderes Modell zum Einsatz: OpenAIs GPT-5.6 Sol. Nur ein Unternehmen, Shopify, scheint die Aktivität bemerkt zu haben, obwohl dessen Bildverarbeitung unter tausenden Test-Uploads wiederholt abstürzte. Hinweise auf eine reale Ausnutzung der OpenAI-Lücke gibt es nicht; Mitte September 2026 stand sie nicht auf der US-Liste bekanntermaßen ausgenutzter Schwachstellen.