PS5-Hypervisor-Lücke: 50.000 Dollar von Sony – und das Ende von PS5-Linux

Sony hat einem Sicherheitsforscher 50.000 US-Dollar für eine Lücke im Hypervisor der PlayStation 5 gezahlt – die Höchstprämie seines Bug-Bounty-Programms. Die Jailbreak-Szene ist trotzdem empört: Mit der Meldung ist das Linux-Projekt von Andy Nguyen alias TheFloW geplatzt, der dieselbe Lücke schon länger kannte. Und ob Sonys Firmware 14.20 die Lücke wirklich schließt, ist offiziell gar nicht bestätigt.

Das Wichtigste in Kürze

• 50.000 Dollar über HackerOne: Der Forscher Jordy (2tonejordy) meldete einen Hypervisor-Bug an Sony. Sein Profil zeigt einen gelösten PlayStation-Report mit 50.000 Dollar.
• Mit KI gefunden: Laut IGN half generative KI bei der Suche. Betroffen sein sollen die Firmware-Versionen 13.60 bis 14.00.
• PS5-Linux eingestellt: TheFloW kannte die Lücke bereits und wollte sie bis nach dem Start von GTA 6 geheim halten. Nach der Meldung beendete er seine Arbeit an PS5-Linux.
• Patch unklar: Firmware 14.20 erschien am 21. Oktober 2026. Tom’s Hardware schreibt, sie behebe die Lücke. Sonys Release Notes nennen den Fix aber nicht.

Worum es geht

Ein Fehler im Hypervisor ist für die PS5 besonders heikel. Der Hypervisor überwacht das System unterhalb des Betriebssystems und soll verhindern, dass unsignierter Code läuft. Wer ihn umgeht, kann eigene Software starten – etwa Linux. Genau darauf baute das Projekt von Andy Nguyen auf, Google-Sicherheitsingenieur und in der Szene als TheFloW bekannt. Er hatte Linux auf der PS5 schon im Frühjahr 2026 vorgeführt und plante für 2027 auch Unterstützung für die PS5 Pro.

Sein Ziel: Linux sollte als vorübergehende Software-Modifikation von einer externen Festplatte starten. Nach einem Neustart wäre die Konsole wieder eine normale PS5 gewesen. Damit hätten Nutzer am 19. November auch GTA 6 kaufen und spielen können, ohne die Linux-Option zu verlieren. Dafür musste die Lücke aber bis nach dem Spielstart unentdeckt bleiben.

Zwei Versionen derselben Geschichte

Nguyen kontaktierte Jordy, nachdem dieser öffentlich von einem eigenen Hypervisor-Fund berichtet hatte. Beide waren sich laut Jordy zunächst einig, den Bug nicht zu melden. Wenige Stunden später habe aber eine weitere Person dieselbe Lücke mit KI gefunden, deshalb habe er ihn doch an Sony gemeldet. „Wenn ich und eine andere Person ihn mit einem LLM finden können, kann das auch jemand Drittes“, sagte er IGN. Er besteht darauf, den Fehler selbst gefunden zu haben.

Nguyen sieht das anders. Am 15. September kündigte er auf X seinen Rückzug aus der PS5-Szene an, monatelange Arbeit sei „den Bach runter“. Gegenüber IGN legte er nach: Früher habe die Szene aus hochbegabten Forschern bestanden, heute aus Anfängern, die mit LLMs Hacks schreiben, die sie selbst nicht verstehen. Am 14. Oktober machte Jordy die Prämie öffentlich und scherzte, damit könne er sich wenigstens GTA 6 kaufen.

Ist die Lücke schon geschlossen?

Das ist der eigentlich offene Punkt. Sony hat am 21. Oktober 2026 die Firmware 14.20 veröffentlicht. Tom’s Hardware wertet sie als Patch für die Lücke. Laut TechPowerUp und Yahoo erwähnen Sonys Release Notes aber nur Verbesserungen der Bedienbarkeit, eine Bestätigung des Fixes gibt es nicht. Für PS5-Besitzer bleibt das Dilemma trotzdem: Wer Linux oder Homebrew nutzen will, muss auf alter Firmware bleiben. Neue Spiele wie GTA 6 verlangen aber meist die aktuelle Systemsoftware.

Einordnung

Juristisch und ethisch hat Jordy nichts falsch gemacht: Genau für solche Meldungen gibt es Bug-Bounty-Programme, und eine Lücke, die mehrere Leute parallel finden, bleibt nicht lange geheim. Der Fall zeigt aber, wie KI-Werkzeuge die Spielregeln verschieben. Lücken, die früher nur wenige Spezialisten fanden, entdecken heute mehrere Leute fast gleichzeitig. Wer eine Schwachstelle für ein eigenes Projekt zurückhält, verliert damit das Rennen gegen die nächste Meldung – und gegen 50.000 Dollar.

Quellen: Tarnkappe.info, Tom’s Hardware, TechPowerUp, Yahoo Tech. Titelbild: KI-generiert (Symbolbild).