OpenAI widerruft Code-Signaturzertifikate nach Lieferkettenangriff
OpenAI hat einen Sicherheitsvorfall entdeckt, der die Nutzung seiner Desktop-Anwendungen auf Apple-Rechnern vorübergehend einschränkt. Der Hintergrund ist ein Angriff auf eine weit verbreitete Open-Source-Bibliothek, die in der Softwareentwicklung des Unternehmens zum Einsatz kommt. Aus diesem Grund widerruft OpenAI bestimmte Code-Signaturzertifikate und zwingt macOS-Nutzer zur Aktualisierung ihrer Programme. Für Besitzer von iPhones oder Windows-PCs bleibt die Lage hingegen unproblematisch.
Lieferkettenangriff auf TanStack
Der Vorfall geht auf einen Angriff zurück, der am 11. Mai 2026 die Open-Source-Bibliothek TanStack traf. Diese Software-Komponente wird in der Entwicklung zahlreicher Anwendungen genutzt und stand im Zentrum einer koordinierten Attacke, die unter dem Namen „Mini Shai-Hulud“ bekannt wurde. Innerhalb von OpenAI waren zwei Arbeitsgeräte von Angestellten mit der schädlichen Software in Kontakt gekommen. Das Unternehmen reagierte umgehend, isolierte die betroffenen Systeme und beauftragte eine externe Firma für digitale Forensik. In einigen internen Quellcode-Bereichen, auf die die beiden Mitarbeiter Zugriff hatten, fanden sich Aktivitäten, die typisch für die Schadsoftware sind: unbefugte Zugriffe und der Versuch, Zugangsdaten zu stehlen. OpenAI betont, dass nur ein kleiner Teil dieser Daten tatsächlich abgegriffen wurde; Quellcode und andere Informationen blieben unberührt.
Zertifikate werden widerrufen
Die betroffenen Quellcode-Bereiche enthielten auch Signaturzertifikate, die zur Beglaubigung von OpenAI-Produkten dienen. Um sicherzustellen, dass keine gefälschten Apps mit diesen Zertifikate circuliieren, widerruft das Unternehmen alle bisherigen Beglaubigungen. Auf macOS bedeutet dies, dass Desktop-Programme bis zum 12. Juni 2026 aktualisiert werden müssen. Ab diesem Datum blockiert das Betriebssystem alle Anwendungen, die noch mit den alten Zertifikate signiert sind. Die betroffenen Versionen – darunter ChatGPT Desktop in der Build 1.2026.118, Codex App mit der Nummer 26.506.31421, das Kommandozeilen-Tool Codex in der Release 0.130.0 sowie Atlas in der Fassung 1.2026.119.1 – verlieren nach dem Widerruf ihre Unterstützung und lassen sich möglicherweise nicht mehr starten. Nutzer können die Aktualisierung über die integrierte Update-Funktion oder die offiziellen Download-Seiten vornehmen. Parallel dazu arbeitet OpenAI mit Plattformbetreibern zusammen, um neue Beglaubigungen mit den alten Zertifikate zu verhindern.
Betroffene Desktop-Programme
Von der Update-Pflicht betroffen sind vier OpenAI-Programme auf macOS: die ChatGPT-Desktop-App, die Codex App, das Codex-Befehlszeilenprogramm und Atlas. iOS-Apps und Windows-Programme hingegen müssen nicht aktualisiert werden, da hier keine Zertifikatsrotation erforderlich ist. OpenAI hat bereits E-Mails an macOS-Nutzer versendet, um sie auf die bevorstehende Aktualisierung hinzuweisen. Das Unternehmen betont, dass keine Kundendaten, Produkte oder geistiges Eigentum kompromittiert wurden. Auch bekannte Schadprogramme wurden nicht mit OpenAI-Zertifikate signiert. Nutzer sollten ihre Programme nur über die offiziellen Kanäle beziehen – also die In-App-Update-Funktion oder die Download-Seiten von OpenAI – und keine Installationsdateien aus unbekannten Quellen wie E-Mails, Social-Media-Nachrichten, Werbeanzeigen oder fremde Download-Portale verwenden.
Zusammenfassung
OpenAI reagiert auf einen Lieferkettenangriff und widerruft Code-Signaturzertifikate. macOS-Nutzer müssen ihre Desktop-Apps bis 12. Juni 2026 aktualisieren, damit sie weiter funktionieren. Kundendaten und Produkte selbst sind nicht kompromittiert.
Das könnte dich auch interessieren
Weitere Geschichten aus Mac News.
OpenAI erklärt E-Mail-Chaos nach Apples Klage
OpenAI entkräftet den Vorwurf, man habe auf Apples rechtliche Schritte ignoriert. Die KI-Firma führt den Kommunikationsabbruch auf eine Verwechslung durch die Anwälte der Gegenpartei zurück.
CrashStealer: Mac-Trojaner imitiert System-Tool und stiehlt Schlüsselbund
Ein neuer macOS-Trojaner namens CrashStealer nutzt eine legitime Meeting-App als Einstiegstool und tarnt sich anschließend als CrashReporter. Das Ziel: Der unbemerkte Diebstahl von Passwörtern, Browserdaten und Krypto-Wallets.
Apple sperrt Downgrades auf iOS 26.5 und iOS 26.5.1
Apple hat die Signierung für iOS 26.5 und 26.5.1 entfernt. Nutzer müssen nun auf iOS 26.5.2 aktualisieren, da das Update kritische Sicherheitslücken schließt.
PamStealer: macOS-Infostealer imitiert Maccy-Zwischenablage-Tool
Sicherheitsforscher von Jamf warnen vor einer neuen Mac-Malware, die sich als Zwischenablagen-Manager tarnt. Die Schadsoftware umgeht die Quarantäne durch manuelle Skript-Ausführung und stiehlt danach Passwörter, Browser-Daten und Krypto-Wallets.
macOS 27 Beta 3: Design-Korrekturen und erweiterte Siri AI
Apple hat den dritten Testlauf von macOS 27 Golden Gate veröffentlicht. Der Fokus liegt auf optischen Feinanpassungen am Liquid-Glass-Design sowie einem Ausbau der visuellen KI-Funktionen von Siri.
OpenClaw: Der lokale KI-Assistent hat nun eine offizielle iPhone-App
OpenClaw veröffentlicht seine erste offizielle iOS-App im App Store. Der KI-Assistent arbeitet vollständig lokal über ein privates Gateway und bleibt damit unter der Kontrolle der Nutzer.
Kommentare
Sei der Erste, der hier kommentiert.
Du musst angemeldet sein, um zu kommentieren.