.avif)
Sicherheit der Software-Lieferkette Nachrichten
Bleiben Sie auf dem Laufenden über die neuesten Vorfälle im Bereich Sicherheit der Software-Lieferkette, einschließlich bösartiger Pakete, Abhängigkeitsangriffe und realer Sicherheitsverletzungen. Wir analysieren, was passiert ist, warum es wichtig ist und was Entwickelnde beheben sollten, um einen Schritt voraus zu sein.
Die „wfx-loot“-Kampagne verbreitet einen CI-Secret-Stealer in Zehntausenden von Repositories
Eine Welle gehackter Konten verbreitet einen Stealer für vertrauliche Informationen. Prüfen Sie, ob Sie betroffen sind, welche Daten gestohlen werden und welche Zugangsdaten Sie ändern sollten.
Eine kritische TCP-Sicherheitslücke im Linux-Kernel kann die Ausführung von Code aus der Ferne ermöglichen (CVE-2026-98432)
CVE-2026-98432 ist eine kritische TCP-Sicherheitslücke im Linux-Kernel mit einer Schweregradbewertung von 9,8, die die Ausführung von Code aus der Ferne ermöglichen kann. Erfahren Sie, wer betroffen ist, wie Sie das Problem beheben können und was Sie jetzt tun sollten.
Node2Shell entwickelt sich zu HTTP2Shell weiter. Die Auswirkungen der Brotli-Sicherheitslücke (CVE-2026-111497) betreffen zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen.
Die Brotli-Sicherheitslücke hinter Node2Shell (CVE-2026-111497) betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen und bei denen Brotli oder brotlicffi installiert ist. Überprüfen Sie Ihre Versionen und führen Sie ein Update auf die korrigierte Version durch.
Wie Sicherheitsteams gegen KI-gestützte Hacker vorgehen
KI hat die Einstiegshürde für Hacker drastisch gesenkt. Das bedeutet dies für Verteidiger und wie kontinuierliche KI-Penetrationstests die Gleichung verändern.
Persistentes XSS/RCE mittels WebSockets im Storybook-Entwicklungsserver
CVE-2026-27148 legt eine WebSocket-Hijacking-Schwachstelle in Storybook offen, die zu einer Kompromittierung der Lieferkette eskalieren kann. Erfahren Sie mehr über den Angriffspfad, die Auswirkungen und wie Sie Abhilfe schaffen können.
Astro SSRF mit vollständigem Lesezugriff durch Host-Header-Injection
Der KI-Penetrationstests-Agent von Aikido Security entdeckte eine Server-Side Request Forgery (SSRF)-Schwachstelle in Astros SSR-Implementierung. Erfahren Sie, wie die Host-Header-Injection in vorgerenderten Fehlerseiten vollen internen Netzwerkzugriff ermöglichte.
SvelteSpill: Ein Cache-Deception-Bug in SvelteKit + Vercel
SvelteSpill ist eine Cache-Deception-Schwachstelle, die standardmäßige SvelteKit-Anwendungen betrifft, die auf Vercel bereitgestellt werden. Authentifizierte Antworten können zwischengespeichert und über Benutzer hinweg offengelegt werden. Erfahren Sie, wie Sie prüfen können, ob Sie anfällig sind und wie Sie das Risiko mindern können.
npm-Backdoor ermöglicht Hackern die Manipulation von Glücksspielergebnissen
Ein gezielter npm Supply-Chain-Angriff installiert eine Express-Backdoor, ermöglicht Remote-SQL-/Dateizugriff und schreibt Glücksspielguthaben um, während die Logs konsistent bleiben.
npx-Verwirrung: Pakete, die vergessen haben, ihren eigenen Namen zu beanspruchen
Wir haben 128 nicht beanspruchte npm-Paketnamen registriert, die offizielle Dokumentationen Entwickelnden zur npx-Ausführung empfahlen. Sieben Monate später: 121.000 Downloads. Alle hätten beliebigen Code ausgeführt.
Gefälschte Clawdbot VS Code Extension installiert ScreenConnect RAT
Eine bösartige VS Code Extension, die sich als Clawdbot ausgibt, installiert ScreenConnect RAT auf Entwickler-Maschinen.
G_Wagon: npm-Paket setzt Python-Stealer ein, der über 100 Krypto-Wallets angreift
Das npm-Paket ansi-universal-ui liefert den GWagon Infostealer, der über 100 Krypto-Wallets, Browser-Zugangsdaten und Cloud-Schlüssel angreift. Wir haben alle 10 Versionen analysiert, während der Angreifer in Echtzeit iterierte.
Phishing-Angriff: npm-Pakete, die Benutzerdefinierte Seiten zum Sammeln von Anmeldeinformationen bereitstellen
Eine gezielte Spear-Phishing-Kampagne nutzte npm-Pakete und jsDelivr als kostenlose Phishing-Infrastruktur und stellte pro Opfer angepasste Credential-Harvester bereit.
Bösartige PyPI-Pakete spellcheckpy und spellcheckerpy liefern Python RAT
Angreifer veröffentlichten gefälschte Spellchecker-Pakete auf PyPI mit offen sichtbarer Malware. Wir analysieren den Angriff und worauf Entwickelnde achten müssen.
Agent Skills verbreiten halluzinierte npx-Befehle
KI-Agentenfähigkeiten verbreiten halluzinierte npx-Befehle, wodurch echte Sicherheits- und Zuverlässigkeitsrisiken für Entwickelnde und Lieferketten entstehen.
Kritische n8n-Schwachstelle ermöglicht nicht authentifizierte Remote Code Execution (CVE-2026-21858)
Eine kritische Schwachstelle in n8n (CVE-2026-21858) ermöglicht die unauthentifizierte Remote Code Execution auf selbst gehosteten Instanzen. Erfahren Sie, wer betroffen ist und wie Sie Abhilfe schaffen können.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
