.avif)
Sicherheit der Software-Lieferkette Nachrichten
Bleiben Sie auf dem Laufenden über die neuesten Vorfälle im Bereich Sicherheit der Software-Lieferkette, einschließlich bösartiger Pakete, Abhängigkeitsangriffe und realer Sicherheitsverletzungen. Wir analysieren, was passiert ist, warum es wichtig ist und was Entwickelnde beheben sollten, um einen Schritt voraus zu sein.
Die „wfx-loot“-Kampagne verbreitet einen CI-Secret-Stealer in Zehntausenden von Repositories
Eine Welle gehackter Konten verbreitet einen Stealer für vertrauliche Informationen. Prüfen Sie, ob Sie betroffen sind, welche Daten gestohlen werden und welche Zugangsdaten Sie ändern sollten.
Eine kritische TCP-Sicherheitslücke im Linux-Kernel kann die Ausführung von Code aus der Ferne ermöglichen (CVE-2026-98432)
CVE-2026-98432 ist eine kritische TCP-Sicherheitslücke im Linux-Kernel mit einer Schweregradbewertung von 9,8, die die Ausführung von Code aus der Ferne ermöglichen kann. Erfahren Sie, wer betroffen ist, wie Sie das Problem beheben können und was Sie jetzt tun sollten.
Node2Shell entwickelt sich zu HTTP2Shell weiter. Die Auswirkungen der Brotli-Sicherheitslücke (CVE-2026-111497) betreffen zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen.
Die Brotli-Sicherheitslücke hinter Node2Shell (CVE-2026-111497) betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen und bei denen Brotli oder brotlicffi installiert ist. Überprüfen Sie Ihre Versionen und führen Sie ein Update auf die korrigierte Version durch.
Google API-Schlüssel funktionieren weiterhin, nachdem Sie sie gelöscht haben
Das Löschen eines Google API-Schlüssels widerruft ihn nicht sofort. Unsere Tests ergaben erfolgreiche Authentifizierungen bis zu 23 Minuten nach dem Löschen, und Google hat sich geweigert, dies zu beheben.
Der Wilde Westen der VS Code-Erweiterungen und wie eine manipulierte Erweiterung GitHub kompromittierte
Eine manipulierte VS Code-Erweiterung kompromittierte gestern GitHub, einen Tag nachdem Nx Console (2,2 Mio. Installationen) für 18 Minuten auf dem Visual Studio Marketplace kompromittiert wurde und jeden Nutzer mit aktivierter Auto-Update-Funktion erreichte.
GitHub über eine bösartige VS Code-Erweiterung kompromittiert: Warum Entwickelnden-Geräte das eigentliche Ziel sind
GitHub bestätigte, dass eine manipulierte VS Code-Erweiterung ein Mitarbeitergerät kompromittierte und dabei 3.800 interne Repositories offengelegt wurden. Warum Entwickelnden-Workstations jetzt das Hauptziel von Lieferkettenangriffen sind.
Microsofts durabletask-Paket auf PyPi kompromittiert. Mini Shai Hulud schlägt wieder zu... wieder!
Drei sukzessiv kompromittierte Versionen eines Microsoft-nahen Python-Pakets liefern einen voll ausgestatteten Infostealer, der sich über AWS und Kubernetes verbreitet, alle gefundenen Cloud-Anmeldeinformationen exfiltriert und Festplatten auf israelischen und iranischen Systemen löscht.
Mini Shai-Hulud schlägt erneut zu: npm-Wurm kompromittiert Hunderte von @antv-Paketen
Der Mini Shai-Hulud npm-Wurm hat die @antv-Pakete von Alibaba, echarts-for-react und timeago.js befallen. Die Payload stiehlt CI/CD-Secrets, pflanzt Backdoors in VS Code und Claude Code und verbreitet sich durch die Neuveröffentlichung kompromittierter Pakete. Hier erfahren Sie, was passiert ist und wie Sie Ihr Team schützen können.
Mini Shai-Hulud ist zurück: npm-Wurm befällt über 160 Pakete, darunter Mistral und Tanstack
Mini Shai-Hulud ist zurück und kompromittiert 169 npm-Pakete von TanStack, UiPath, Squawk und weiteren, um Secrets von Entwickelnden und aus CI/CD-Systemen zu stehlen und sich dann über vertrauenswürdige Publishing-Workflows zu verbreiten.
Beliebtes PyTorch Lightning Paket durch Mini Shai-Hulud kompromittiert
Malware in den beliebten PyTorch Lightning Versionen 2.6.2 und 2.6.3 gefunden, die Anmeldeinformationen, Krypto-Wallets und VPN-Konfigurationen als Teil der Mini Shai-Hulud Kampagne stiehlt.
Mini Shai-Hulud zielt auf SAP npm Packages mit einem Bun-basierten Secret Stealer ab
Kompromittierte SAP npm Packages nutzen einen Bun-basierten Preinstall-Payload, um GitHub-, npm-, Cloud- und CI-Secrets zu stehlen und verbreiten sich dann über GitHub mithilfe von OhNoWhatsGoingOnWithGitHub.
Jemand veröffentlichte innerhalb von 27 Minuten vier Versionen eines gefälschten „tanstack“-Pakets, um Ihre .env-Dateien zu stehlen.
Ein gefälschtes „tanstack“-npm-Paket veröffentlichte heute innerhalb von 27 Minuten vier bösartige Versionen, die .env-Dateien über einen postinstall-Hook exfiltrierten. Hier erfahren Sie, was passiert ist, wer betroffen war und wie Sie Ihre Anmeldeinformationen rotieren können.
Es ist an der Zeit, Browser-Erweiterungen wie Supply-Chain-Angriffsvektoren zu behandeln
Der Vercel-Angriff folgte einem Muster, das der Sicherheitsbranche gut bekannt ist: Code von Drittanbietern wird implizit vertraut und dann vorgelagert kompromittiert. Dafür haben wir ein Framework. Wir haben es nur noch nicht auf Browser-Erweiterungen angewendet. (Spoiler: Bei Software-Abhängigkeiten wenden wir dies bereits an)
Ist Shai-Hulud zurück? Kompromittiertes Bitwarden CLI enthält einen sich selbst verbreitenden npm Worm
In @bitwarden/cli v2026.4.0 gefundene Malware stiehlt SSH-Schlüssel, Cloud Secrets und Anmeldeinformationen für AI-Coding-Tools und verbreitet sich dann über die eigenen npm-Pakete der Opfer. Im Inneren: ein Wurm, der sich selbst „Shai-Hulud: The Third Coming“ nennt.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
