Cursor-Zero-Day: Full Disclosure als letzter Ausweg
KI-generiert mit ChatGPT
Ein Entwickler öffnet unter Windows ein Repository im KI-Coding-Tool Cursor. Befindet sich im Wurzelverzeichnis eine manipulierte Datei namens git.exe, führt Cursor diese automatisch aus. Kein Klick, keine Rückfrage, keine Warnung. Das Sicherheitsunternehmen Mindgard hat die Schwachstelle nun veröffentlicht, nachdem der Hersteller nicht reagierte.
Wie die Sicherheitslücke funktioniert
Cursor ist eine der meistgenutzten KI-gestützten Entwicklungsumgebungen. Beim Laden eines Projekts sucht das Tool an mehreren Stellen nach Git-Programmen. Dazu zählt auch das geöffnete Projekt selbst. Ein Angreifer legt dort eine manipulierte git.exe ab. Cursor startet die Datei dann bei der Suche automatisch.
Der Ablauf ist simpel. Der Angriff kommt ohne Prompt Injection aus. Auch eine Speichermanipulation oder ein komplexer Angriff sind nicht notwendig. Es reicht aus, ein Projekt mit einer git.exe im Root-Ordner zu öffnen. Das Ergebnis ist die Ausführung von beliebigem Code mit den Rechten des entsprechenden Nutzers.
Als Nachweis benannte Mindgard den Windows-Taschenrechner in git.exe um. Sobald ein Entwickler das Projekt in Cursor öffnete, startete das Programm den Taschenrechner immer wieder neu. Der Vergleich verschiedener KI-IDEs wie Cursor oder Windsurf zeigt, wie weitreichend solche Werkzeuge auf das eigene System zugreifen können.
AnzeigeSieben Monate ohne Reaktion
Mindgard entdeckte die Sicherheitslücke am 15. Dezember 2025 und meldete sie noch am selben Tag. Danach folgten mehrere Nachfragen. Laut Mindgard blieb der Hersteller über Monate ohne belastbare Rückmeldung. Ein Bericht über die Bug-Bounty-Plattform HackerOne wurde zunächst als nicht relevant eingestuft und geschlossen. Nach einem Einspruch von Mindgard ließ sich die Schwachstelle reproduzieren und wurde an Cursor weitergeleitet. Dann brach der Kontakt ab.
Mehr als sieben Monate und über 197 Versionen später ist die Sicherheitslücke laut Mindgard weiter in der aktuellen Fassung vorhanden. Der zuletzt geprüfte Stand war Cursor 3.2.16 unter Windows. Eine öffentliche Stellungnahme von Cursor liegt bislang nicht vor.
Warum Full Disclosure
Mindgard bevorzugt nach eigener Aussage die koordinierte Offenlegung. Diese funktioniert aber nur, wenn ein Hersteller mitarbeitet. Nach sieben Monaten ohne Fortschritt entschied sich das Team für die vollständige Offenlegung. Mindgard führt auch einen strukturellen Grund an. Mit der zunehmenden Verbreitung von KI-Produkten wächst auch die Zahl der Sicherheitsmeldungen deutlich. Die etablierten Triage-Prozesse kommen damit an ihre Grenzen. Ähnlich öffentlich wurde zuletzt der Streit um die kritische libssh2-Schwachstelle mit öffentlichem Exploit geführt.
Was Betroffene jetzt unternehmen sollten
Ein Patch fehlt. Bis dahin rät Mindgard, unbekannte Repositories nur in einer abgeschotteten Umgebung zu öffnen. Dafür eignen sich virtuelle Maschinen oder die Windows-Sandbox. Auf verwalteten Windows-Systemen können Administratoren die Ausführung der betroffenen Datei über Regeln in AppLocker oder Windows App Control sperren. Blocklisten auf Basis von Datei-Prüfsummen helfen laut Mindgard nicht, weil ein Angreifer die Datei leicht verändern kann.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
