CVE-2026-58116: Kritische RCE-Lücke in LLaMA-Factory gefährdet KI-Trainingsumgebungen

Kurzfassung

Bei LLaMA-Factory bis einschließlich Version 0.9.5 wurde eine kritische Schwachstelle entdeckt, die unter bestimmten Bedingungen zur Ausführung von beliebigem Python-Code führen kann. Auslöser ist eine unsichere Verarbeitung von Modellpfaden in der Weboberfläche. Wer Zugriff auf die WebUI hat, kann durch manipulierte Eingaben potenziell Code mit den Rechten des Serverprozesses ausführen. Für Unternehmen, die KI-Modelle trainieren oder feinabstimmen, ist das ein ernstes Risiko für Vertraulichkeit, Integrität und Verfügbarkeit.

Was ist passiert?

Die Schwachstelle betrifft eine Anwendung, die für das Training und die Anpassung von Sprachmodellen eingesetzt wird. Laut der vorliegenden Information werden vom Nutzer übermittelte Modellpfade nicht ausreichend geprüft, bevor sie an Bibliotheksfunktionen weitergereicht werden. In Kombination mit einer fest verdrahteten Einstellung, die das Laden von entferntem oder lokalem Code erlaubt, kann dies dazu führen, dass nicht vertrauenswürdiger Code beim Laden eines Modells ausgeführt wird.

Praktisch bedeutet das: Ein Angreifer mit WebUI-Zugriff muss nicht zwingend ein klassisches Exploit-Framework einsetzen. Es reicht offenbar, einen präparierten Modellpfad einzuschleusen, um den vorgesehenen Modellladeprozess missbrauchen zu können. Der Angriff findet damit in einem Bereich statt, der in vielen Organisationen als interne Verwaltungsfunktion wahrgenommen wird, in Wahrheit aber sicherheitskritisch ist.

Technische Details

Der Kern des Problems liegt in einer fehlenden Validierung von Benutzereingaben. Die Anwendung übergibt den Modellpfad direkt an Funktionen zum Laden von Tokenizer und Modell. Gleichzeitig ist die Option aktiviert, Remote-Code aus Modellquellen zu vertrauen. Genau diese Kombination ist gefährlich: Wird ein Modell aus einer Repository-Quelle geladen, kann dort hinterlegter Code unter Umständen automatisch ausgeführt werden.

Der CVSS-Wert wird in der Quelle als kritisch eingestuft. Das ist plausibel, weil die Schwachstelle potenziell zu vollständiger Kompromittierung des betroffenen Systems führen kann. Besonders problematisch ist, dass die Ausführung mit den Rechten des Serverprozesses erfolgt. Je nach Deployment kann das Zugriff auf Trainingsdaten, Zugangsdaten, interne APIs, Modellartefakte oder angeschlossene Infrastruktur bedeuten.

Für die Praxis ist außerdem relevant, dass KI-Workflows häufig mit weitreichenden Berechtigungen betrieben werden. Entwicklungsumgebungen, Notebooks, GPU-Server und MLOps-Pipelines sind oft stärker vernetzt als klassische Fachanwendungen. Dadurch kann eine einzelne Schwachstelle schnell zu einem Sprungbrett in weitere Systeme werden.

Wer ist betroffen?

Direkt betroffen sind Organisationen, die LLaMA-Factory in Versionen bis 0.9.5 einsetzen und die WebUI exponiert oder für mehrere Nutzer zugänglich betreiben. Das betrifft vor allem Unternehmen aus Forschung, Entwicklung, Industrie, Beratung und IT-Dienstleistung, die Sprachmodelle intern trainieren oder anpassen.

Für DACH-Unternehmen ist das Risiko besonders relevant, wenn KI-Plattformen in produktionsnahen Umgebungen laufen oder Zugriff auf sensible Datenbestände haben. Dazu zählen etwa Kundendaten, interne Dokumente, proprietäre Trainingsdaten oder Schnittstellen zu Cloud- und On-Premises-Systemen. Auch wenn die Schwachstelle keinen Endverbraucherfokus hat, können indirekt auch Privatpersonen betroffen sein, falls ihre Daten in Trainings- oder Analyseumgebungen verarbeitet werden.

Privatanwender sind nach aktuellem Stand eher nicht die Hauptzielgruppe. Das Risiko liegt klar im professionellen Einsatz von KI-Entwicklungs- und Trainingswerkzeugen.

Empfohlene Maßnahmen

Unternehmen sollten zunächst prüfen, ob LLaMA-Factory in betroffenen Versionen eingesetzt wird. Falls ja, ist eine zeitnahe Aktualisierung auf eine abgesicherte Version erforderlich, sobald ein entsprechendes Update verfügbar ist. Bis dahin sollte der Zugriff auf die WebUI strikt eingeschränkt werden, idealerweise nur für autorisierte Nutzer und nur aus vertrauenswürdigen Netzen.

Zusätzlich empfiehlt sich eine Überprüfung der Konfiguration rund um das Laden externer Modelle. Wenn möglich, sollte das Vertrauen in Remote-Code deaktiviert oder auf ein Minimum reduziert werden. Modellquellen sollten nur aus geprüften Repositories stammen. Außerdem ist es sinnvoll, KI-Workloads in isolierten Umgebungen zu betreiben, etwa in Containern mit restriktiven Rechten und ohne unnötige Netz- oder Dateisystemzugriffe.

Für den Betrieb in Unternehmen sind folgende Schritte besonders wichtig:

Versionen und Deployment-Standorte inventarisieren
Zugriff auf WebUI und Administrationsfunktionen beschränken
Netzwerksegmentierung und Least-Privilege-Prinzip anwenden
Logs auf verdächtige Modellpfade oder ungewöhnliche Ladevorgänge prüfen
Abhängigkeiten und Modellquellen regelmäßig auditieren

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Schwachstelle ist hoch, weil sie einen typischen blinden Fleck in KI-Projekten trifft: Die Sicherheit konzentriert sich häufig auf Daten und Modelle, während die Lade- und Verwaltungslogik unterschätzt wird. Genau dort entsteht hier jedoch ein direkter Pfad zur Codeausführung.

Für Unternehmen im DACH-Raum ist das mehr als ein rein technisches Problem. Wer KI-Plattformen in interne Prozesse integriert, muss sie wie produktive Server behandeln, nicht wie experimentelle Tools. Besonders kritisch sind Umgebungen, in denen Entwickler, Data Scientists und externe Dienstleister gemeinsam arbeiten. Dort steigt die Wahrscheinlichkeit, dass Webzugriffe, Modellimporte und Berechtigungen zu großzügig konfiguriert sind.

Aus Sicht der Praxis ist die Schwachstelle ein gutes Beispiel dafür, warum Supply-Chain-Risiken in KI-Stacks ernst genommen werden müssen. Nicht nur das eigentliche Modell, sondern auch die Ladepfade, Bibliotheken und Vertrauenseinstellungen entscheiden über die Sicherheit.

Fazit

CVE-2026-58116 ist eine kritische Schwachstelle mit hohem Missbrauchspotenzial in professionellen KI-Umgebungen. Wer LLaMA-Factory einsetzt, sollte die eigene Installation umgehend überprüfen und den Zugriff auf die WebUI sowie das Laden externer Modelle absichern. Für Unternehmen ist das Risiko vor allem deshalb relevant, weil ein erfolgreicher Angriff nicht nur die KI-Anwendung selbst, sondern auch angrenzende Systeme und Datenbestände betreffen kann. In produktiven Umgebungen gilt daher: schnell inventarisieren, isolieren, aktualisieren und die Vertrauenskette beim Modellladen konsequent reduzieren.