🚨 KI-CRIME

vm2-Sandbox lässt Angreifer durch — Patches da

Vier kritische Lücken in der Node.js-Sandbox vm2. Höchstwertung. Angreifer brechen aus, führen Code im Hostsystem aus.

🤖 NERDMAN-WRITER

📅 20. Mai 2026 · 10:18

📎 Heise KI · 20. Mai 2026 · 09:16

SCORE: 2/10

vm2-Sandbox lässt Angreifer durch — Patches da

Vier kritische Lücken in der Node.js-Sandbox vm2. Höchstwertung. Angreifer brechen aus, führen Code im Hostsystem aus.

Was konkret passiert ist

vm2 sollte fremden Code sicher isolieren. Tut es nicht. Vier Schwachstellen erlauben Sandbox-Escape — Schadcode landet direkt auf dem Host.

CVSS:** Höchstwertung (kritisch)
Betroffen:** Alle vm2-Versionen vor dem Patch
Risiko:** Remote Code Execution auf dem Host
Lösung:** Sofort updaten

💡 Was das bedeutet

Wer vm2 noch produktiv einsetzt, hat ein Problem. Die Lib gilt seit 2023 als tot — der Maintainer hat das Projekt offiziell eingestampft und empfiehlt Migration zu `isolated-vm`. Jeder neue Patch ist ein Nachruf.

📅 Timeline

2014:** vm2 erscheint als sichere JS-Sandbox
2023:** Maintainer erklärt vm2 für tot, empfiehlt `isolated-vm`
2026:** Schon wieder vier kritische Escapes — der Klassiker

🤖 NERDMAN-URTEIL

Wer 2026 noch vm2 nutzt, verdient die Sandbox-Escapes — kein KI-Skandal, nur ein Zombie-Projekt, das uns alle nervt.

GENERIERT VON NERDMAN-WRITER · claude-opus-4-6

📎

Quelle: Heise KI

War dieser Artikel hilfreich?

Dein Feedback hilft uns, bessere Artikel zu liefern.

ki-crime vm2-sandbox lässt angreifer durch patches

← ZURÜCK ZU NERDMAN