.avif)
Sicherheit der Software-Lieferkette Nachrichten
Bleiben Sie auf dem Laufenden über die neuesten Vorfälle im Bereich Sicherheit der Software-Lieferkette, einschließlich bösartiger Pakete, Abhängigkeitsangriffe und realer Sicherheitsverletzungen. Wir analysieren, was passiert ist, warum es wichtig ist und was Entwickelnde beheben sollten, um einen Schritt voraus zu sein.
Die „wfx-loot“-Kampagne verbreitet einen CI-Secret-Stealer in Zehntausenden von Repositories
Eine Welle gehackter Konten verbreitet einen Stealer für vertrauliche Informationen. Prüfen Sie, ob Sie betroffen sind, welche Daten gestohlen werden und welche Zugangsdaten Sie ändern sollten.
Eine kritische TCP-Sicherheitslücke im Linux-Kernel kann die Ausführung von Code aus der Ferne ermöglichen (CVE-2026-98432)
CVE-2026-98432 ist eine kritische TCP-Sicherheitslücke im Linux-Kernel mit einer Schweregradbewertung von 9,8, die die Ausführung von Code aus der Ferne ermöglichen kann. Erfahren Sie, wer betroffen ist, wie Sie das Problem beheben können und was Sie jetzt tun sollten.
Node2Shell entwickelt sich zu HTTP2Shell weiter. Die Auswirkungen der Brotli-Sicherheitslücke (CVE-2026-111497) betreffen zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen.
Die Brotli-Sicherheitslücke hinter Node2Shell (CVE-2026-111497) betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen und bei denen Brotli oder brotlicffi installiert ist. Überprüfen Sie Ihre Versionen und führen Sie ein Update auf die korrigierte Version durch.
Kompromittiertes @injectivelabs/sdk-ts exfiltriert Wallet-Schlüssel über gefälschte Telemetrie
Eine bösartige Veröffentlichung von @injectivelabs/sdk-ts versteckte einen Wallet-Schlüssel-Stealer in Code, der als Nutzungs-Telemetrie gekennzeichnet war, und verbreitete ihn dann auf 17 weitere npm-Pakete. So funktionierte es und so überprüfen Sie Ihre Projekte.
Kontinuierliche Vorhersage von MongoDB ObjectId in Rocket.Chat
Aikidos KI-Pentester fand diese Dateizugriffs-Schwachstelle in Rocket.Chat. Eine genauere Betrachtung von MongoDBs ObjectId zeigte die schwache Zufälligkeit, die sie ausnutzbar macht.
Authentication Bypass in der Standardkonfiguration von phpBB
Unsere AI-Pentest-Agenten entdeckten einen kritischen phpBB Auth Bypass (CVE-2026-48611): Eine einzige unauthentifizierte Anfrage ermöglicht die Anmeldung bei jedem beliebigen Konto. Details zum Exploit und zur Behebung finden Sie hier.
Kompromittierte GitHub-Aktion codfish/semantic-release-action stiehlt CI/CD-Secrets
codfish/semantic-release-action wurde am 24. Juni 2026 kompromittiert. Angreifer leiteten die Tags v2–v5 auf einen Miasma-Payload zum Stehlen von Anmeldeinformationen um, der auf CI/CD-Secrets abzielt. Hier erfahren Sie, was passiert ist und wie Sie überprüfen können, ob Sie betroffen sind.
Über 140 beliebte Mastra npm-Pakete von Supply-Chain-Angriff betroffen
141 Mastra npm-Pakete wurden bei einem Supply-Chain-Angriff kompromittiert, der eine bösartige Abhängigkeit einschleuste, um eine Payload zur Installationszeit stillschweigend herunterzuladen und auszuführen.
Mehrere JetBrains IDE-Plugins beim Stehlen von KI-Schlüsseln erwischt
Eine koordinierte Kampagne von mindestens 15 JetBrains IDE-Plugins, veröffentlicht unter sieben Anbieterkonten, exfiltriert den API-Schlüssel des KI-Anbieters, den Sie in deren Einstellungen einfügen.
Kompromittiertes Rust-Crate onering führt Code-Exfiltration durch
Das kompromittierte onering Rust-Crate v1.4.1 auf crates.io lieferte eine bösartige build.rs-Datei aus, die bei jedem Build den Diff Ihres letzten Commits an einen gehosteten Sentry-Endpoint exfiltriert.
10 Jahre alte kritische Schwachstelle in phpBB, die zig Millionen Nutzer in Tausenden von Foren betrifft
Aikido Security entdeckte eine kritische, nicht authentifizierte Authentifizierungs-Bypass-Schwachstelle in phpBB, die zig Millionen Nutzer betrifft. Eine einzige HTTP-Anfrage genügt, um jedes Konto zu übernehmen – eine Schwachstelle, die seit 2014 in der Codebasis existiert.
Moment, was kann binding.gyp eigentlich? Eine Erkundung von npms eigenwilligstem Build-System
Ein tiefer Einblick in binding.gyp, die oft übersehene npm-Build-Datei, die bösartigen Code zur Installationszeit durch Shell-Erweiterungen, Sandbox-Escapes und Compiler-Hijacking ausführen kann.
Red Hat npm-Pakete kompromittiert, um einen Anmeldeinformationen stehlenden Wurm zu verbreiten
Mehrere offizielle @redhat-cloud-services npm-Pakete wurden mit einem Anmeldeinformationen stehlenden Wurm kompromittiert, der von der Open-Source-Malware Mini Shai-Hulud abgeleitet wurde und auf Cloud-Anmeldeinformationen und Entwickler-Tools in CI/CD-Pipelines abzielte.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
