Z.ai ZCode: Automatische Verbindung zu MCP-Servern aus der Workspace-Konfiguration

Zusammenfassung

Z.ai ZCode v3.11.2.6792 verbindet sich automatisch mit MCP-Servern, die in der Workspace-Konfiguration eines Repositorys deklariert sind. Ein Angreifer kann ein präpariertes Repository bereitstellen, durch das die Anwendung mit angreiferkontrollierten Servern verbindet, was die Ausführung von beliebigem Code ermöglichen kann. Voraussetzung ist, dass ein Benutzer das präparierte Repository in ZCode öffnet, und für die Lücke wird ein öffentlicher Proof of Concept referenziert.

Betroffen

• ZCode v3.11.2.6792 (wie im CVE-Eintrag beschrieben; der NVD-Eintrag enthält keine vom Hersteller bestätigten Versionsfelder)
• Drittanbieter-Recherchen berichten vom gleichen automatischen Verbindungsverhalten in den Versionen 3.14.0, 3.14.3 und 3.15.1. Dies ist nicht verifiziert, daher kann der betroffene Umfang grösser sein als im CVE-Text beschrieben.

Behoben in

Unbekannt. Es wurden weder eine Herstellerwarnung, eine korrigierte Version noch ein Patch gefunden.

Umgehung

• Es ist keine vom Hersteller bestätigte Massnahme bekannt.
• Keine nicht vertrauenswürdigen oder Drittanbieter-Repositorys in ZCode öffnen.
• Vor dem Öffnen eines Repositorys .zcode/config.json und ähnliche Dateien auf deklarierte MCP-Server prüfen.
• Bei Z.ai nachfragen, ob eine unterstützte Einstellung existiert, die eine Freigabe für MCP-Server im Workspace verlangt.

Ausnutzung

• Im NVD-Eintrag wird ein öffentlicher Proof of Concept referenziert.
• CISA-SSVC-Bewertung: Ausnutzung 'poc', automatisierbar 'nein', technische Auswirkung 'total'.

Unsere Empfehlung

• Feststellen, wo ZCode installiert ist.
• Geklonte oder Drittanbieter-Repositorys als nicht vertrauenswürdig behandeln und ihre MCP-Konfiguration vor dem Öffnen prüfen.
• Auf unerwartete Kindprozesse überwachen, die von ZCode gestartet werden.
• Bei Z.ai nach einer korrigierten Version fragen und diese installieren, sobald sie verfügbar ist.
• Die Nutzung von ZCode auf Systemen mit sensiblen Daten einschränken, bis eine Korrektur bestätigt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-88755 Proof of Concept repository github.com
• CVE-2026-88755 gist gist.github.com
• CVE-2026-88755 on OpenCVE app.opencve.io
• Z.ai ZCode vendor site (reference in CVE record) zcode.com
• agent-audit-kit issue 1018 (third-party report on auto-connect) github.com
• mcp-manager issue 59 (workspace config load order) github.com
• zcode-acp issue 16 (ZCode 3.11.2 MCP connection fixes) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:52.