In Kürze

  • CISA hat die Schwachstelle CVE-2025-62593 im quelloffenen KI-Compute-Framework Ray am 17. August 2026 in ihren Katalog aktiv ausgenutzter Sicherheitslücken (KEV) aufgenommen, nachdem eine frühere Einschätzung als «Proof-of-Concept verfügbar» auf «aktiv ausgenutzt» korrigiert wurde; die Lücke erreicht einen CVSS-Wert von 9,4 von 10.
  • Ursache ist eine unzureichende Absicherung des Ray-Dashboards gegen browserbasierte Angriffe: Die bisherige Prüfung, ob der HTTP-User-Agent mit «Mozilla» beginnt, lässt sich von jedem modernen Browser umgehen; kombiniert mit sogenanntem DNS-Rebinding können Angreifende dadurch bereits durch den blossen Besuch einer präparierten Webseite Programmcode auf Rechnern mit laufendem Ray ausführen.
  • Betroffen sind alle Ray-Versionen vor 2.52.0; US-Bundesbehörden müssen die Lücke laut CISA-Vorgabe bis zum 20. August 2026 schliessen, betroffen sind aber potenziell auch Entwickler-Arbeitsplätze, CI/CD-Systeme, Container-Images und Kubernetes-Cluster weltweit.

Was ist passiert?

Die US-Cybersicherheitsbehörde CISA hat am 17. August 2026 die Schwachstelle CVE-2025-62593 im quelloffenen KI-Rechen-Framework Ray in ihren Katalog aktiv ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV) aufgenommen. Ray wird von zahlreichen Unternehmen – laut Berichten unter anderem auch von OpenAI selbst – eingesetzt, um rechenintensive KI-Trainings- und Betriebslasten über viele Rechner oder Cluster hinweg zu verteilen. Die Schwachstelle mit einem CVSS-Wert von 9,4 erlaubt eine Remote-Code-Ausführung: Weil das Ray-Dashboard lediglich prüft, ob der HTTP-User-Agent-Header mit «Mozilla» beginnt, lässt sich diese Schutzmassnahme von jedem modernen Browser umgehen. In Kombination mit DNS-Rebinding-Techniken können Angreifende dadurch bereits durch den blossen Besuch einer präparierten Webseite oder Online-Werbung Programmcode auf einem Rechner ausführen, auf dem Ray lokal läuft.

Betroffen sind alle Ray-Versionen vor der im Dezember 2025 erschienenen Version 2.52.0, in der die Lücke behoben wurde. CISA verpflichtet US-Bundesbehörden, die Schwachstelle bis zum 20. August 2026 zu schliessen – ein aussergewöhnlich kurzes Zeitfenster von nur drei Tagen, das die Dringlichkeit unterstreicht. Betroffen sein können neben klassischen Serverumgebungen auch Entwickler-Arbeitsplätze, CI/CD-Pipelines, Container-Images und Kubernetes-Cluster, auf denen Ray für maschinelles Lernen eingesetzt wird.

Warum ist das wichtig?

Der Fall verdeutlicht ein strukturelles Risiko der aktuellen KI-Welle: Viele Unternehmen setzen für ihre KI-Projekte auf ein enges Set an quelloffenen Frameworks wie Ray, ohne sich der damit verbundenen Sicherheitsverantwortung immer bewusst zu sein. Anders als bei klassischer Unternehmenssoftware werden solche KI-Frameworks häufig direkt von Data-Science- und Forschungsteams installiert und betrieben, oft ausserhalb der etablierten IT-Sicherheitsprozesse eines Unternehmens – wodurch Schwachstellen wie diese leicht unentdeckt bleiben können.

Dass CISA die Einschätzung von «Proof-of-Concept verfügbar» auf «aktiv ausgenutzt» korrigiert hat, zeigt zudem, wie schnell Angreifende neu bekannt gewordene Schwachstellen in der KI-Infrastruktur ausnutzen, sobald technische Details öffentlich verfügbar sind. Für die Cybersicherheitsbranche insgesamt bestätigt der Vorfall den Trend, dass KI-Trainings- und Betriebsinfrastruktur zunehmend selbst zum bevorzugten Angriffsziel wird – nicht nur die damit erzeugten Modelle oder deren Ausgaben.

Was bedeutet das für die Schweiz?

  • Ray wird auch von Schweizer Forschungsgruppen, Fintech-Unternehmen und KI-Startups zur verteilten Berechnung von Trainings- und Inferenzlasten eingesetzt; da die CISA-Frist nur US-Bundesbehörden bindet, tragen Schweizer Organisationen die Verantwortung, ihre eigenen Ray-Installationen selbstständig und ebenso dringlich zu identifizieren und zu patchen.
  • Weil der Angriff bereits durch den Besuch einer bösartigen Webseite oder Werbeanzeige auf einem Rechner mit laufendem Ray ausgelöst werden kann, sind besonders Entwickler-Notebooks in Schweizer Unternehmen gefährdet, auf denen Ray oft ohne zusätzliche Netzwerksegmentierung für lokale Tests läuft – ein Umstand, den IT-Sicherheitsverantwortliche bei der Risikoeinschätzung nach ISO 27001 oder im Rahmen des Schweizer IKT-Grundschutzes berücksichtigen sollten.
  • Der Fall zeigt exemplarisch ein wachsendes Risiko für Schweizer KMU: Wer KI-Anwendungen auf offenen Frameworks aufbaut, übernimmt damit auch deren Sicherheitslücken – das Nationale Zentrum für Cybersicherheit (NCSC) empfiehlt, Meldungen im CISA-KEV-Katalog generell als dringende Handlungsaufforderung zu behandeln, auch ohne eigene gesetzliche Bindung daran.

Verwendete Quellen

The Hacker News und The Register berichteten am 18. August 2026 über die Aufnahme in den CISA-KEV-Katalog; Security Affairs lieferte zusätzliche technische Details zur Schwachstelle.

Häufige Fragen

Was ist die Kernaussage zu Kritische Sicherheitslücke im verbreiteten KI-Framework Ray: US-Behörde CISA meldet aktive Angriffe?

CISA hat die Schwachstelle CVE-2025-62593 im quelloffenen KI-Compute-Framework Ray am 17. August 2026 in ihren Katalog aktiv ausgenutzter Sicherheitslücken (KEV) aufgenommen, nachdem eine frühere Einschätzung als «Proof-of-Concept verfügbar» auf «aktiv ausgenutzt» korrigiert wurde; die Lücke erreicht einen CVSS-Wert von 9,4 von 10.

Warum ist diese KI-Meldung für die Schweiz relevant?

Ray wird auch von Schweizer Forschungsgruppen, Fintech-Unternehmen und KI-Startups zur verteilten Berechnung von Trainings- und Inferenzlasten eingesetzt; da die CISA-Frist nur US-Bundesbehörden bindet, tragen Schweizer Organisationen die Verantwortung, ihre eigenen Ray-Installationen selbstständig und ebenso dringlich zu identifizieren und zu patchen.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

The Hacker News und The Register berichteten am 18. August 2026 über die Aufnahme in den CISA-KEV-Katalog; Security Affairs lieferte zusätzliche technische Details zur Schwachstelle.