.avif)
Sicherheit der Software-Lieferkette Nachrichten
Bleiben Sie auf dem Laufenden über die neuesten Vorfälle im Bereich Sicherheit der Software-Lieferkette, einschließlich bösartiger Pakete, Abhängigkeitsangriffe und realer Sicherheitsverletzungen. Wir analysieren, was passiert ist, warum es wichtig ist und was Entwickelnde beheben sollten, um einen Schritt voraus zu sein.
Die „wfx-loot“-Kampagne verbreitet einen CI-Secret-Stealer in Zehntausenden von Repositories
Eine Welle gehackter Konten verbreitet einen Stealer für vertrauliche Informationen. Prüfen Sie, ob Sie betroffen sind, welche Daten gestohlen werden und welche Zugangsdaten Sie ändern sollten.
Eine kritische TCP-Sicherheitslücke im Linux-Kernel kann die Ausführung von Code aus der Ferne ermöglichen (CVE-2026-98432)
CVE-2026-98432 ist eine kritische TCP-Sicherheitslücke im Linux-Kernel mit einer Schweregradbewertung von 9,8, die die Ausführung von Code aus der Ferne ermöglichen kann. Erfahren Sie, wer betroffen ist, wie Sie das Problem beheben können und was Sie jetzt tun sollten.
Node2Shell entwickelt sich zu HTTP2Shell weiter. Die Auswirkungen der Brotli-Sicherheitslücke (CVE-2026-111497) betreffen zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen.
Die Brotli-Sicherheitslücke hinter Node2Shell (CVE-2026-111497) betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen und bei denen Brotli oder brotlicffi installiert ist. Überprüfen Sie Ihre Versionen und führen Sie ein Update auf die korrigierte Version durch.
Shai-Hulud auferstanden nach 111 Tagen
Eine bekannte Shai-Hulud-Wurm-Nutzlast schlummerte 111 Tage lang und wurde dann erneut auf npm veröffentlicht – direkt vorbei an der Malware-Erkennung, die sie eigentlich abfangen sollte.
StyleSmuggler-Fix: Patchen der RCE in Magento und Adobe Commerce
StyleSmuggler ist eine unauthentifizierte RCE, die Magento und Adobe Commerce betrifft, ohne CVE und noch ohne Patch von Adobe. Aikido hat den Fix bereits.
MECCHA CHAMELEON kann sich vor der RCE nicht verstecken
Wir haben eine zweite, verzögerte RCE in MECCHA CHAMELEON entdeckt: Eine bösartige benutzerdefinierte Map konnte nach einem Neustart Dateien an beliebigen Orten auf Ihrem System schreiben und Code ausführen. Mittlerweile in Version 4.0.0 behoben.
Beliebter Code-Generator für TanStack Query von Supply-Chain-Wurm betroffen
In @7nohe/openapi-react-query-codegen, einem beliebten Code-Generator für TanStack Query, wurde ein versteckter Supply-Chain-Wurm entdeckt, der Zugangsdaten stiehlt und sich auf jedes vom Opfer verwartete Paket ausbreitet.
Die beliebten Rust-Crates „arrayref“, „append-only-vec“ und „internment“ wurden bei einem Supply-Chain-Angriff kompromittiert
Ein Supply-Chain-Angriff kompromittierte beliebte Rust-Crates (arrayref, append-only-vec und internment), indem eine Abhängigkeit zum schädlichen Paket proc-macro1 eingeschleust wurde, das zur Build-Zeit eine Remote-Nutzlast herunterlädt und ausführt.
Schon wieder ein RCE in Gogs, aber diesmal ist das Problem behoben!
CVE-2026-52813 | Ein Aikido-KI-Penetrationsstest-Agent hat eine Pfadtraverse in Gogs gemeldet. Wir haben dies zu einer vollständigen RCE eskaliert und zwei weitere Fehler gemeldet, die alle in Version 0.14.3 behoben wurden.
Keyv und Freunde wurden bei einem aktiven Shai-Hulud-Angriff auf die Lieferkette kompromittiert
Die Mini Shai-Hulud-Malware wurde am 4. August 2026 in keyv und acht verwandte npm-Pakete eingeschleust, nachdem ein Angreifer das GitHub-Konto des Maintainers kompromittiert hatte.
Anthropic's Fiebertraum: Claudes Paket, das echte Schlüssel gestohlen hat
Anthropic hat offengelegt, dass ein Agent echte Malware auf PyPI hochgeladen hat. Wir glauben, das Paket gefunden zu haben, und jeder Fehler darin weist auf die KI zurück.
Acht Schwachstellen mit hohem Schweregrad in NodeBB in sechs Stunden gefunden
Acht NodeBB-Schwachstellen mit hohem Schweregrad, gefunden von unserem AI Pentest in sechs Stunden. Vollständige technische Analyse der XSS-Ketten, Auth-Bypässe und Post-Hijacking.
SleeperGem: RubyGems Supply-Chain-Angriff zielt auf ruhende Maintainer-Konten ab
SleeperGem: Zwei ruhende RubyGems-Maintainer-Konten wurden gekapert, um Malware in vertrauenswürdige Gems einzuschleusen, eines davon mit über 500.000 Downloads insgesamt.
Unauthentifizierte RCE im WordPress-Core (wp2shell), via SQL-Injection
Der WordPress-Core weist eine nicht authentifizierte RCE (wp2shell) auf, als SQL-Injection bestätigt. Aktualisieren Sie jetzt auf 7.0.2 oder 6.9.5, mit Gegenmaßnahmen, falls Sie noch nicht patchen können. Blockieren Sie die Angriffsklasse zur Laufzeit mit Aikido Zen.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
