Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle CVE-2025-62593 im quelloffenen KI-Framework Ray am 17. August 2026 offiziell als aktiv ausgenutzt eingestuft. Ein Fehler in der Browser-Abwehr erlaubt Angreifern Codeausführung, sobald ein Entwickler mit laufendem Ray eine präparierte Webseite besucht – ganz ohne Download oder Klick auf einen Link.
Fehlerhafte Browser-Prüfung öffnet Tür für Fremdcode
Ray ist ein quelloffenes Framework des Anbieters Anyscale, mit dem Firmen maschinelles Lernen auf verteilten Rechen-Clustern trainieren – es kommt bei zahlreichen KI-Projekten als Unterbau zum Einsatz. Die im GitHub-Sicherheitshinweis dokumentierte Lücke trägt den Schweregrad 9,4 von 10 möglichen Punkten. Ray prüft normalerweise, ob eine Anfrage von einem Browser stammt, indem es kontrolliert, ob der User-Agent-Header mit „Mozilla” beginnt. Diese Prüfung lässt sich jedoch umgehen: In Firefox und Safari kann eine Webseite den Header per Fetch-API selbst setzen. Kombiniert mit einem DNS-Rebinding-Angriff – dabei täuscht eine bösartige Seite dem Browser vor, mit dem lokal laufenden Ray-Server identisch zu sein – lassen sich Befehle direkt an Schnittstellen wie /api/jobs/ senden und dort beliebiger Programmcode ausführen. Sicherheitsforscher von Oligo Security und der Plattform Socket.dev meldeten den Fehler, veröffentlicht wurde die Korrektur am 26. November 2025.
RondoDox greift schon vor der offiziellen Warnung an
Wie eine Analyse von Bitsight zeigt, nutzte das Botnetz RondoDox die Lücke bereits ab dem 24. November 2025 aus – zwei Tage vor der offiziellen Veröffentlichung. Das deutet darauf hin, dass die Betreiber aktiv Vorab-Veröffentlichungen von Sicherheitslücken beobachten und verfügbaren Beweis-Code umgehend einsetzen. Bemerkenswert: RondoDox schickte in seinen Anfragen den Header „Mozilla/5.0 (rondo2012@atomicmail.io)” – technisch unsauber, aber ausreichend, um die schwache Mozilla-Prüfung zu bestehen, auch ganz ohne den eigentlich vorgesehenen Umweg über einen fremden Browser. Das zeigt: Schon ein direkter Netzwerkzugriff auf eine ungeschützte Ray-Instanz kann theoretisch reichen. RondoDox gilt laut Bitsight als besonders aggressives Botnetz, das zwischen Mai 2025 und Februar 2026 insgesamt 174 unterschiedliche Schwachstellen ausnutzte, an einem einzigen Tag im Oktober 2025 waren es 49 zugleich. Mit der Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen bestätigt CISA nun offiziell, dass die Ray-Lücke Teil dieser aktiven Angriffswelle ist.
Anyscale schließt Lücke, ältere Ray-Attacke bleibt getrennt
Ray 2.52.0 behebt die Schwachstelle und ergänzt zusätzlich eine optionale token-basierte Authentifizierung als weitere Schutzschicht. Wer die Software für eigene KI-Projekte einsetzt, sollte umgehend aktualisieren und das Ray-Dashboard nicht ungeschützt aus dem offenen Internet erreichbar lassen. Der Patch steht kostenlos über den Python-Paketmanager pip sowie auf GitHub bereit, eine Lizenzänderung ist damit nicht verbunden. Von der aktuellen Lücke zu unterscheiden ist die separate Kampagne ShadowRay 2.0, die Angreifer laut Oligo Security seit November 2025 fahren: Sie nutzt eine ältere, 2023 gemeldete Schwachstelle mit fehlender Authentifizierung aus, um Ray-Cluster zu Kryptomining-Botnetzen umzubauen. Es ist zudem nicht der erste Fall in diesem Sommer, in dem CISA eine KI-Plattform als aktiv angegriffen einstuft – Anfang August erklärte die Behörde eine Lücke in der Automatisierungsplattform Langflow für aktiv ausgenutzt.
Offen bleibt, wie viele Ray-Installationen weltweit derzeit ungeschützt im Netz erreichbar sind. Entscheidend wird, ob Betreiber von KI-Infrastruktur Sicherheits-Updates künftig schneller einspielen, bevor Angreifer wie RondoDox verfügbaren Beweis-Code in automatisierte Angriffswerkzeuge umsetzen.
