Plugin4Shell unterläuft den Schutz von vier Coding-Agenten

Worum es geht

Die Sicherheitsfirma Air Security hat am 17. September 2026 eine Schwachstelle veröffentlicht, die sie Plugin4Shell nennt. Betroffen sind die Plugin-Mechanismen von Claude Code, OpenAI Codex, GitHub Copilot CLI und Gemini CLI. Ein Angreifer mit Kontrolle über das Repository eines bereits vertrauten Plugins kann demnach erreichen, dass der Agent anderen Code ausführt als den zuvor geprüften und über eine Commit-Kennung festgeschriebenen Stand.

Das ist relevant, weil Plugins und Erweiterungen häufig weitreichende Rechte besitzen: Sie dürfen Dateien lesen, Befehle starten und auf Entwicklungszugänge zugreifen. Air Security bezeichnet den Fehler deshalb als Zero-Click Remote Code Execution. Bei automatischen Aktualisierungen kann die Ausführung ohne neuen Klick oder neue Bestätigung erfolgen.

Was Plugin4Shell tatsächlich macht

Viele Plugin-Kataloge speichern eine 40 Zeichen lange Git-Commit-Kennung, einen sogenannten SHA. Diese Kennung soll garantieren, dass bei jeder Installation exakt der geprüfte Code ausgecheckt wird. Plugin4Shell nutzt aus, dass Git einen Namen in manchen Situationen als Branch statt als Commit auflösen kann.

Bei Claude Code, Codex und Copilot kann ein Repository-Betreiber auf unterstützten Git-Servern einen Branch anlegen, dessen Name genauso aussieht wie der festgeschriebene SHA, und ihn zum Standard-Branch machen. Der Agent führt zwar einen Checkout mit der erwarteten Zeichenfolge aus, landet aber auf dem vom Angreifer kontrollierten Branch. GitHub selbst verbietet solche Branch-Namen; Bitbucket und selbst betriebene Git-Server können sie laut Air Security erlauben.

Gemini CLI hatte eine verwandte Variante: Der richtige Commit wurde abgerufen, beim anschließenden Checkout konnte jedoch ein Branch namens FETCH_HEAD Vorrang erhalten. Die technische Gegenmaßnahme ist klein, aber wesentlich: Nach dem Checkout muss der Agent HEAD auflösen und prüfen, ob der tatsächliche Commit exakt dem erwarteten SHA entspricht.

Air Security und The Hacker News berichten, dass Anthropic den Fehler in Claude Code 2.1.179 und OpenAI ihn in Codex 0.146.0 behoben haben. Zum Zeitpunkt der Berichte gab es für Copilot CLI keinen Fix; Google plante laut den Berichten keinen Patch für die auslaufende Gemini CLI.

Warum das wichtig ist

Die Schwachstelle greift nicht das Sprachmodell an, sondern die Lieferkette darunter. Ein Plugin kann bei der Aufnahme in einen Katalog sauber sein und später ausgetauscht werden. Ebenso könnte ein Angreifer ein legitimes Repository übernehmen. Damit verliert eine Sicherheitsprüfung ihren Wert, obwohl die sichtbare Commit-Kennung unverändert vertrauenswürdig wirkt.

Besonders kritisch ist der Fehler in Entwicklungsumgebungen mit Zugang zu Quellcode, Paketregistern, Cloud-Konten oder Signierschlüsseln. Ein erfolgreicher Angriff könnte nicht nur einen Rechner betreffen, sondern auch Software verändern, die anschließend an Kunden ausgeliefert wird. Das macht Plugin4Shell für Einzelentwickler ebenso relevant wie für Unternehmen.

Einfach erklärt

Stellen Sie sich vor, eine Werkstatt prüft einen Ersatzschlüssel und notiert seine eingeprägte Nummer. Später verlangt sie wieder genau diese Nummer. Der Lieferant legt jedoch einen zweiten, anders geschliffenen Schlüssel in ein Fach, das denselben Namen trägt. Die Werkstatt liest das richtige Etikett, nimmt aber den falschen Schlüssel. Die Lösung besteht darin, nach der Entnahme auch den Schlüssel selbst zu prüfen.

Praktisches Beispiel

Ein Team mit 40 Entwicklern installiert ein internes Plugin aus einem geprüften Bitbucket-Repository. Der Katalog verweist auf einen freigegebenen Commit. Wochen später übernimmt ein Angreifer das Repository, legt einen Branch mit genau dieser 40-stelligen Commit-Zeichenfolge an und macht ihn zum Standard.

Bei der nächsten automatischen Aktualisierung erhalten 40 Agenten den manipulierten Stand. Läuft das Plugin mit Zugriff auf Quellcode und Umgebungsvariablen, könnte es Zugangsdaten auslesen oder Build-Skripte verändern. Eine erneute manuelle Freigabe findet in diesem Szenario nicht statt. Ein abgesicherter Client bricht dagegen ab, sobald der tatsächlich ausgecheckte HEAD nicht mit dem katalogisierten Commit übereinstimmt.

Einordnung und Grenzen

• Der Angriff setzt Kontrolle über das Plugin-Repository oder die Möglichkeit voraus, ein später bösartig verändertes Plugin in einen vertrauten Katalog einzubringen. Plugin4Shell allein verschafft diese Kontrolle nicht.
• Die Branch-Variante funktioniert nicht auf jedem Git-Host. GitHub blockiert Branch-Namen, die vollständig wie ein 40-stelliger SHA aussehen. Andere unterstützte Hosts können sich anders verhalten.
• Die Reichweitenangabe „Millionen betroffene Agenten“ stammt vom Entdecker und ist nicht unabhängig verifiziert. Auch ein verwundbarer Client bedeutet nicht, dass bereits ein Angriff stattgefunden hat.

Teams sollten installierte Plugins inventarisieren, Agenten aktualisieren, automatische Updates aus nicht kontrollierten Katalogen begrenzen und Entwicklungszugänge nach dem Prinzip der geringsten Rechte vergeben. Wo kein Hersteller-Patch vorliegt, ist das Deaktivieren betroffener Plugin-Pfade sicherer als das Vertrauen auf die sichtbare SHA-Zeichenfolge.

SEO- und GEO-Schlüsselbegriffe

Plugin4Shell, Claude Code, OpenAI Codex, GitHub Copilot CLI, Gemini CLI, Coding-Agenten, Plugin-Sicherheit, Git SHA, Software-Lieferkette, Remote Code Execution, Air Security