.avif)
Sicherheit der Software-Lieferkette Nachrichten
Bleiben Sie auf dem Laufenden über die neuesten Vorfälle im Bereich Sicherheit der Software-Lieferkette, einschließlich bösartiger Pakete, Abhängigkeitsangriffe und realer Sicherheitsverletzungen. Wir analysieren, was passiert ist, warum es wichtig ist und was Entwickelnde beheben sollten, um einen Schritt voraus zu sein.
Die „wfx-loot“-Kampagne verbreitet einen CI-Secret-Stealer in Zehntausenden von Repositories
Eine Welle gehackter Konten verbreitet einen Stealer für vertrauliche Informationen. Prüfen Sie, ob Sie betroffen sind, welche Daten gestohlen werden und welche Zugangsdaten Sie ändern sollten.
Eine kritische TCP-Sicherheitslücke im Linux-Kernel kann die Ausführung von Code aus der Ferne ermöglichen (CVE-2026-98432)
CVE-2026-98432 ist eine kritische TCP-Sicherheitslücke im Linux-Kernel mit einer Schweregradbewertung von 9,8, die die Ausführung von Code aus der Ferne ermöglichen kann. Erfahren Sie, wer betroffen ist, wie Sie das Problem beheben können und was Sie jetzt tun sollten.
Node2Shell entwickelt sich zu HTTP2Shell weiter. Die Auswirkungen der Brotli-Sicherheitslücke (CVE-2026-111497) betreffen zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen.
Die Brotli-Sicherheitslücke hinter Node2Shell (CVE-2026-111497) betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP nutzen und bei denen Brotli oder brotlicffi installiert ist. Überprüfen Sie Ihre Versionen und führen Sie ein Update auf die korrigierte Version durch.
Unsichtbare Unicode-Malware schlägt erneut bei OpenVSX zu
Eine weitere Welle von Open VSX-Erweiterungen wurde heute kompromittiert.
Die Rückkehr der unsichtbaren Bedrohung: Versteckte PUA Unicode-Treffer in GitHub-Repositorys
Bedrohungsakteure verwenden nicht druckbare Unicode-Zeichen, um
Bugs in Shai-Hulud: Die Wüste debuggen
Der Shai Hulud-Wurm hatte eigene Bugs und musste von den Angreifern gepatcht werden. Wir betrachten auch eine Zeitleiste der Ereignisse, um zu sehen, wie es sich entwickelte.
S1ngularity/nx-Angreifer schlagen erneut zu
Die Angreifer hinter dem nx-Angriff haben erneut zugeschlagen und eine große Anzahl von Paketen mit einer neuartigen Wurm-Payload ins Visier genommen.
Wir hatten Glück: Die Lieferkettenkatastrophe, die beinahe eingetreten wäre
Achtzehn weit verbreitete Open-Source-Pakete wurden kompromittiert, milliardenfach heruntergeladen und in nahezu jeder Cloud-Umgebung eingebettet. Die Community ist einem Unglück entgangen. Aber dieser knappe Vorfall zeigt, wie fragil unsere Software-Lieferkette wirklich ist.
duckdb npm-Pakete kompromittiert
Das beliebte Paket duckdb wurde von denselben Angreifern kompromittiert, die debug und chalk getroffen haben
npm debug- und chalk-Pakete kompromittiert
Die beliebten Pakete debug und chalk auf npm wurden mit bösartigem Code kompromittiert
Ohne einen Dependency Graph über Code, Container und Cloud hinweg sind Sie blind für echte Schwachstellen
Ertrinken Sie nicht länger in CVEs. Ohne einen Abhängigkeitsgraphen über Code, Container und Cloud hinweg werden Sie echte Schwachstellen übersehen und Fehlalarme jagen.
Beliebte nx-Pakete auf npm kompromittiert
Das beliebte nx-Paket auf npm wurde kompromittiert, und gestohlene Daten wurden öffentlich auf GitHub veröffentlicht
Was ist Vibe Coding Security? Risiken, Beispiele und wie man sicher bleibt
Vibe Coding ist der neue AI-Coding-Trend, bei dem jeder in Stunden eine App erstellen kann. Doch von Replit's Datenbanklöschung bis hin zu exponierten Tea-Apps sind die Risiken real. Erfahren Sie, was Vibe Coding Security bedeutet, den Unterschied zum Agentic Coding und wie CISOs die Vibes ohne die Schwachstellen beibehalten können.
Ein tieferer Einblick in den Bedrohungsakteur hinter dem react-native-aria-Angriff
Wir untersuchen die Aktivitäten des Bedrohungsakteurs, der react-native-aria-Pakete auf npm kompromittiert hat, und wie dieser seine Angriffe weiterentwickelt.
Bösartiges Krypto-Diebstahl-Paket zielt auf Web3-Entwickelnde in nordkoreanischer Operation ab
Aikido Security deckt einen nordkoreanisch-verbundenen Supply-Chain-Angriff auf, der das gefälschte npm-Paket web3-wrapper-ethers nutzt, um private Schlüssel von Web3-Entwickelnden zu stehlen. Der Bedrohungsakteur, der mit Void Dokkaebi in Verbindung gebracht wird, spiegelt frühere Krypto-Diebstahloperationen der DVRK wider. Erfahren Sie, wie der Angriff funktionierte und was zu tun ist, wenn Sie betroffen sind.
Sicherheit jetzt implementieren
Sichern Sie Ihren Code, Ihre Cloud und Ihre Laufzeit in einem zentralen System.
Finden und beheben Sie Schwachstellen schnell und automatisch.
