Blog

Sylius Security-Release (2.0.18/2.1.15/2.2.6)

Vorfall-Analyse (Sammelpost) zum Sylius-Security-Release vom 02.06.2026. Drei Advisories im Shop-/Payment-API-Pfad: GHSA-5597-7rmh-97q5 (Cart-FormComponent löscht/ändert abgeschlossene Order, CVSS 6.5, CWE-672/841), GHSA-mr9r-h354-966r (IDOR auf Shop-Payment-Request-Endpoints, CWE-639) und GHSA-6955-hrm5-c4qp (Channel-basierter Zahlart-Bypass, CVSS 4.3, CWE-863). Betroffen: 2.0.0–2.0.17, 2.1.0–2.1.14, 2.2.0–2.2.5. Behoben in 2.0.18 / 2.1.15 / 2.2.6. Keine CVE-IDs, alle Moderate, keine bekannte aktive Ausnutzung. Fix per composer update; je Lücke ein dokumentierter Workaround per Service-Override.

VSCode-Webview-Escape (github.dev Token Stealing)

Ein Klick auf einen präparierten github.dev-Link reicht, um den GitHub-OAuth-Token mit Vollzugriff auf alle Repos zu stehlen. Kein Patch verfügbar. Analyse der Exploit-Kette (Jupyter-Notebook-XSS + Webview-Keydown-Forwarding + Extension-Installation), Sofortmaßnahmen und Betreiberempfehlung. Ammar Askar, Full Disclosure 02.06.2026.

OpenShell Agent-Containment (Build 2026)

Tagesbriefing zur OpenShell-Integration in GitHub Copilot (Microsoft Build 2026, 2. Juni): Agenten bekommen ein eigenes Containment- und Ausführungs-Substrat — Sandbox-Container, Policy-as-Code, Credential-Isolation. Trennung von Fähigkeit und Berechtigung, offen lizenziert, modellagnostisch — für den Mittelstand zuerst eine Datenschutz- und Souveränitätsfrage.

FrankenPHP 1.12.4 (Underscore-Header / Caddy 2.11.4)

Hardening-Release FrankenPHP 1.12.4: Underscore-Header-Spoofing am Server geschlossen, gebündelte Caddy-2.11.4- und Mercure-0.24.2-Security-Patches, dazu Worker-Mode-Crash- und Data-Race-Fixes. Kein aktiver 0-Day, aber „jeder sollte updaten“ — mit Mitigation, Detection und Betreiberempfehlung.

binding.gyp npm-Worm (node-gyp)

Laufender npm-Lieferketten-Vorfall: ein selbst-replizierender Worm nutzt binding.gyp/node-gyp statt postinstall, laedt die Bun-Runtime, erntet Cloud-/Registry-Credentials, injiziert setup-bun in GitHub-Actions-Workflows und vergiftet weitere Pakete des Opfers. Mit Mitigation, Detection-IOCs und Betreiberempfehlung — Paketliste an die Primaerquelle delegiert.

Miasma Editor-Welle (KI-Coding-Agenten)

Die Miasma-Familie folgt dem Entwickler vom Paketmanager in den Editor: Ein Commit pflanzt sechs Dateien, fuenf davon Trigger (SessionStart-Hook in .claude/.gemini, alwaysApply-Regel in .cursor, folderOpen-Task in .vscode, test-Script-Hijack) fuer einen 4,3-MB-Bun-Dropper. Klonen ist sicher, Oeffnen nicht. 113 Repos (Floor) inkl. Azure/durabletask. --ignore-scripts faengt keinen SessionStart-Hook. Mit Mitigation, Detection, Betreiberempfehlung.

PHP SOAP CVE-2026-6722 (UAF-RCE)

CVE-2026-6722: Use-after-Free im PHP ext-soap (Objekt-Dedup ueber id/href ohne Refcount-Erhoehung, Apache-Map-UAF, Heap-Grooming via Strings) — unauthentifizierte RCE bei SoapServer-Exposure. Dazu CVE-2026-7261 (UAF SoapServer/Session), -7262 (NULL-Deref/DoS), -7258 (OOB-Read in urldecode, SOAP-unabhaengig) und -6104 (mbstring-Overrun). Fix 8.2.31/8.3.31/8.4.21/8.5.6. Moselwal: SOAP praktisch nicht mehr im Einsatz — abgeschaltet ist nicht gleich nicht geladen. Bewusst kein 48h-Daily-Treffer (Disclosure 12.05.2026).

compressing CVE-2026-40931 (Patch-Bypass)

Ein Anfang Juni oeffentlich aufgearbeiteter Patch-Bypass (CVE-2026-40931) in der npm-Bibliothek compressing: path.resolve()/startsWith pruefen nur die Zeichenkette, nicht ob ein Pfad-Segment auf der Platte ein Symlink ist. Der Symlink steckt nicht im Archiv, sondern wird per git clone vorab platziert; beim Entpacken folgt fs.writeFile dem Symlink und schreibt ausserhalb des Zielverzeichnisses. Mit Mitigation, Detection, Root-Cause und Betreiberempfehlung; Fix 2.1.1 / 1.10.5.

TYPO3 14.3.3 + 13.4.31 (14 Advisories)

nginx-poolslip 0-Day (nginx 1.31.0)

Nebula Security hat am 21.05.2026 den Fund eines unauthentifizierten RCE-Pfads (Codename nginx-poolslip) im internen Memory-Pool-Allocator von nginx 1.31.0 Mainline publik gemacht — ASLR-Bypass via Heap-Feng-Shui, keine CVE-Nummer, kein offizieller Patch, kein öffentlicher Exploit-Code, 30-Tage-Embargo nach Patch. Eine Lage-Einschätzung, die zwischen taufrisch-und-ungeprüft und aktiv-mitigieren sauber unterscheidet — geschrieben aus der Perspektive eines Plattformbetriebs, der NGINX im eigenen Stack inzwischen durch FrankenPHP/Caddy ersetzt hat, aber Bestandskunden mit NGINX im Pfad weiter operativ betreut.

BIND-9-Resolver-Loop (CVE-2026-5950)

ISC hat am 20.05.2026 das Advisory für CVE-2026-5950 publiziert — eine ungeschützte Resend-Schleife im BIND-9-Resolver-Zustandsautomaten unter dem bad-server-Behandlungspfad. Betroffen sind 9.18.36 bis 9.18.48, 9.20.8 bis 9.20.22 und 9.21.7 bis 9.21.21 plus die Subscription-Linien. Autoritative Services sind nach ISC nicht betroffen, rekursive schon. Patches in 9.18.49, 9.20.23 und 9.21.22 verfügbar. Lage-Analyse plus Architektur-Anlass für DNS-Resilienz mit Redundanz und Implementations-Mix.

Artikel 50 wird greifbar — die EU-Kommission legt ihre Transparenz-Leitlinien zum AI Act vor und gibt Ihnen 26 Tage zum Mitreden

Konsultationsbeginn 8. Mai, Frist 3. Juni, Geltungsbeginn 2. August 2026. Vier Pflicht-Profile aus Artikel 50, drei operative Empfehlungen für den DACH-Mittelstand und ein Vorschlag, die Klassifizierungs-Übung nicht weiter zu verschieben.

Datenbanken im BSI-Bauplan: Was der neue Praxisleitfaden für relationale, NoSQL- und containerisierte Systeme operativ verändert

Vier Achsen: Authentifizierung, Verschlüsselung, Container-Lebenszyklus, Backup/Restore. Was DACH-KMU mit MariaDB-, PostgreSQL- oder MongoDB-Containern in den nächsten vier Wochen anpacken sollten, um nicht unter Audit-Druck nachholen zu müssen.

Apache HTTP/2 CVE-2026-23918: Wenn zwei Frames den Webserver-Pool kippen — was 2.4.67 wirklich ändert

Double-Free in der mod_http2-Stream-Cleanup-Pfad, ohne Auth, ohne spezielle Header, ohne URL-Spezifik. Patch in Apache 2.4.67, kein KEV-Eintrag bisher, aber Public-PoC verfügbar.

Symfony Process CVE-2026-24739

Argument-Injection unter Windows-Dev-Maschinen, kein Produktions-Notfall im klassischen Sinn. Aber der CVE ist die Erinnerung, dass die Komponente in Composer-Skripten, Console-Commands und Build-Pipelines tief verwoben ist.

Wenn der eigene Passwortmanager zum Lieferkettenrisiko wird: Der Bitwarden-CLI-Vorfall vom 22. April 2026

Der Bitwarden-Vorfall im Kontext des Checkmarx-Supply-Chain-Angriffs und was Unternehmen jetzt konkret tun sollten, um ihre Build-Chain abzusichern.

Zscaler: Broker für Agenten-Verkehr

Tagesbriefing zur Zenith Live vom 9. Juni 2026: Mit AI Broker und Agent Registry bekommt der Agenten-Verkehr eine eigene Kontrollschicht ueber MCP und A2A. Fuer den Mittelstand ist das eine Architektur- und zugleich eine Datenschutz-Entscheidung, weil die Governance-Schicht selbst ein Drittland-Durchlauf sein kann.

Post-Quantum Security ist kein Zukunftsthema — RFC 9964, ML-DSA und was ich heute bereits produktiv einsetze

Multi-Agent-Illusion

Tagesbriefing zum Preprint 'The Illusion of Multi-Agent Advantage': Multi-Agent ist eine Architektur-Entscheidung, keine Default-Einstellung. Was der Mittelstand aus dem Kosten-Befund und der Datenschutz-Flanke (mehr Agenten = mehr Inferenz-Aufrufe = groessere Drittland-Oberflaeche) ableiten sollte.

Symfony-Webhook-HMAC-Nachzug

Composer-Tree-Audit, Secret-Verify, trusted_proxies — die Nachzugs-Vorlage für CVE-2026-45754 / -45755 / -45756 / -47212. Alle vier vom selben Reporter (Himanshu Anand) gemeldet, alle vier mit Convention-vs-Contract-Pattern in doParse(Request, #[SensitiveParameter] string $secret).

Shai-Hulud @antv-Welle (19.05.)

Inventur, Token-Rotation, Pre-Install-Gates, interner Mirror, SBOM — die Antwort auf den anhaltenden Shai-Hulud-Modus. 639 bösartige Versionen verteilt auf 323 npm-Pakete in etwas über einer Stunde am 19. Mai; mit intercom/intercom-php-Kompromittierung Ende April steht auch Composer/Packagist im selben Spielfeld.

Die zweite LiteLLM-Lücke in 14 Tagen: CVE-2026-42203 (Jinja2-SSTI in /prompts/test) und warum Proxy-Endpunkte hinter API-Keys nicht das Ende der Geschichte sind

BSI-Warnung 07.05.2026 zu LiteLLM CVE-2026-42203: SSTI im /prompts/test-Endpunkt, post-auth RCE für jeden Proxy-User. Fix in 1.83.7-stable, schließt auch die Schwester-CVE -42208. Operative Maßnahmen für KI-Agenten- und MCP-Backend-Stacks.

Wenn der Image-Bauer den falschen Brief annimmt: drei Lücken in apko (CVE-2026-42574 / -42575 / -42576) und was Wolfi-Build-Pipelines heute brauchen

Drei am 9. Mai 2026 veröffentlichte Lücken in apko verschieben die Vertrauensgrenze in der Wolfi-/Chainguard-Build-Pipeline: Path Traversal, fehlender Hash-Vergleich gegen den signierten Index und ein Type-Assert-Panic. Patch-Pin direkt auf 1.2.7, plus eigene SBOM-Verifikations-Stage als strukturelle Antwort.

Doppelter Composer-Vorfall am 22. Mai 2026 — Laravel-Lang-Tag-Injection (Aikido) und postinstall-Welle in 8 Composer-Paketen + 700+ GitHub-Repos (Socket)

Zwei parallele Composer-Vorfälle am 22. Mai 2026: Tag-Injection über GitHub-Fork-Commits (Laravel-Lang, Aikido) und postinstall-Hook in package.json + Branch-Tracking-Versionen (Socket, 8 Composer-Pakete + 700+ Repos). C2 flipboxstudio.info bzw. parikhpreyash4/systemd-network-helper-aa5c751f.

NVIDIA Verified Agent Skills

Tagesbriefing vom 23. Mai 2026 zu NVIDIA-Verified Agent Skills: nicht das Produkt ist die Nachricht, sondern das Verfahren - Skill Card als SBOM-Pendant, NIS-2 / EU AI Act / DORA als Compliance-Klammern, model_signing verify certificate als CI-Schritt.

Project Glasswing 30 Tage

Tagesbriefing zum Project-Glasswing-30-Tage-Update vom 22. Mai 2026: nicht das Finden ist der Engpass, sondern das Verifizieren, Patchen und Ausrollen - und der Mittelstand sitzt am Empfangsende der Welle.

Drupal CVE-2026-9082 (Parser-Differential-Klasse)

Die Drupal-SQLi vom 20./22. Mai 2026 ist Pattern-Träger derselben Klasse, die zwei Wochen zuvor die SymfonyRuntime-Welle (CVE-2026-46626) ausgelöst hat: ein Parser-Differential zwischen zwei Schichten, die scheinbar dasselbe parsen. Dieser Post seziert die technische Ursache und zieht den Audit-Reflex auf den TYPO3-/Doctrine-DBAL-Stack durch.

KI-Tool-Installation als Falle (SEO-Poisoning)

Tagesbriefing zur EclecticIQ-Analyse vom 21. Mai 2026 über eine seit März laufende SEO-Vergiftungs-Kampagne gegen die Installations-Seiten von Claude Code und Gemini CLI. KI-Agenten-Tooling-Adoption ist als eigene Supply-Chain-Spur in der eCrime-Ökonomie angekommen; der Mittelstand braucht Inventur, Powershell-Härtung und eine Secret-Disziplin (SOPS/YubiKey/OIDC mit Minuten-Token/Passwortmanager mit Rotation), die den Wert eines kompromittierten Notebooks auf wenige Minuten gültiger Tokens schrumpft.

TYPO3 14.3.2 + 13.4.30 (Maintenance)

Beide Releases sind als „maintenance only" angekündigt — kein dedizierter Core-Security-Advisory. Im Commit der Dependency-Raise stehen aber neun CVE-Referenzen, deren Mitnahme wir für DSB-/Audit-Pflichten schriftlich dokumentieren. Plus npm-Devdep-Sanierung, Site-aware Cache-Tag-Collection, MD5-Cleanup und in 14.3.2 zusätzlich Live-Search-Sprach-Flagge sowie fluid:analyze-useNonce-Detection.

Abliteration Open-Weight-Modelle

Tagesbriefing zur FT/Alice-Recherche vom 25. Mai 2026: Abliteration als directional ablation ist seit 2024 dokumentiert; neu ist die Trivialisierung ueber ein CLI-Werkzeug mit Optuna-Parameter-Suche, 3.500 Varianten und 13 Millionen Downloads. Die operative Folge fuer Self-Hosted-/Sovereign-Hosting-Architekturen mit Llama, Gemma, Mistral oder Qwen: Modell-Provenance per SHA-Pinning, signiertes Manifest und eine vom Modell unabhaengige Policy-Schicht (Llama Guard, NeMo Guardrails, OpenShell).

Composer 2.10 & Packagist-Roadmap

Nils Adermann und Igor Benko haben am 27. Mai 2026 die Packagist-/Composer-Supply-Chain-Roadmap öffentlich gemacht. Composer 2.10 mit Dependency-Policy-Framework geht diese Woche live, die Stable-Version-Immutability auf Packagist.org wird im gleichen Deploy scharf geschaltet, MFA-Status wandert in das Transparenz-Log und auf die Maintainer-Profile. Mittelfristig stehen eine Minimum-Release-Age-Policy, FIDO2-gestützte Staged Releases für Pakete mit grosser Userbase und eine Annäherung an OpenSSF L3/L4 plus SLSA-Build-Provenance auf dem Plan. Für TYPO3- und Sylius-Betreiber ist die MFA-Aktivierung damit operative Voraussetzung für die nächsten zwölf Wochen.

BadHost CVE-2026-48710 (Starlette/MCP)

Vorfall-Analyse zur BadHost-Schwachstelle (CVE-2026-48710): Starlette rekonstruiert request.url aus dem Host-Header per String-Konkatenation, das ASGI-Routing greift aber auf scope['path'] zu. Eine path-basierte Auth-Middleware liest damit einen anderen Pfad als der Router entscheidet. MCP-Server sind besonders exponiert, weil die Spezifikation unauthentifizierte OAuth-Discovery-Endpunkte erzwingt. Disclosure 22.05.2026, Fix in Starlette 1.0.1.

Nx Console CVE-2026-48027 (TeamPCP)

Vorfall-Analyse zu CVE-2026-48027 (Nx Console 18.95.0): malicious VS-Code-Extension unter dem verifizierten Publisher-Handle nrwl, 18 Minuten in der Visual-Studio-Marketplace, 36 Minuten auf Open VSX. Das Bundle selbst trug keinen Payload — bei Workspace-Activation startete es einen Shell-Aufruf, der nx-next aus einem orphaned Commit auf nrwl/nx nachlud (Google TI nennt den Stealer SANDCLOCK). Eintritt: TanStack-npm-Welle CVE-2026-45321 (TeamPCP / Mini Shai-Hulud). Folge: 3.800 interne GitHub-Repos, OpenAI, Grafana Labs, Mistral AI. Moselwal nicht direkt im Stack, aber Claude-Code-Konfigurationsdateien sind explizit harvested — operativer Hebel über jede Maschine mit Claude Code im Werkbank-Workflow.

TinyMCE CVE-2026-47759 (data-mce Bypass)

Vorfall-Analyse zu CVE-2026-47759 (TinyMCE 5.11.1 / 7.9.3 / 8.5.1): Sanitizer-Bypass über Editor-interne data-mce-*-Attribute, die beim Serialisieren in href/src/style zurückgeschrieben werden. Im selben Release-Zyklus auch CVE-2026-47761 (high) und CVE-2026-47762 (medium, mce:protected/protect-Option). Moselwal-eigene TYPO3-Stack betrifft das nicht (CKEditor 5 statt TinyMCE). Im PHP-Stack ist die Hauptklasse WordPress mit aktivem Classic-Editor-Plugin sowie individuell eingebundene TinyMCE-Komponenten — Sonata-Admin, Sylius und Drupal 10 liefern jeweils CKEditor als Default. Reflex-Linie: Rich-Text-Editoren gehören als eigene Lieferketten-Schicht in den SBOM neben Composer- und npm-Dependencies, Sanitizer-Konfiguration muss data-mce-*-Klasse explizit kennen.

vpmdhaj npm Typosquat (OpenSearch/Elastic)

Vorfall-Analyse zur vpmdhaj-Typosquat-Welle vom 28.05.2026 (Microsoft Threat Intelligence): 14 maliziose npm-Pakete unter frisch erstelltem Maintainer-Alias publiziert, repository.url zeigt auf opensearch-project/opensearch zur visuellen Tarnung, preinstall-Lifecycle-Hook startet automatisch. Microsoft dokumentiert zwei Stager-Varianten (Gen-1 ≤ 1.0.7265 via preinstall.js/index.js, Gen-2 ≥ 1.0.7266 via setup.mjs). Beispiele opensearch-setup und elastic-opensearch-helper; vollständige Paket-Liste zurückgehalten. Methodisch neue Klasse neben der TanStack-/Nx-Console-Linie: frische Alias-Identität statt kompromittierter Maintainer-Identität. Mittelstands-Reflex: ignore-scripts-Default, Token-Rotation, SBOM-Maintainer-Account-Alter als Audit-Achse.

CVE-2026-7598: Warum diese libssh2-Schwachstelle der Lackmustest für Ihre Supply-Chain-Disziplin ist

Integer-Overflow in libssh2 zeigt: Ohne SBOM und ohne deklaratives Host-Inventar wird jede Wochen-CVE zur Hero-Aktion. Wir zeigen Drei-Schichten-Antwort und unsere eigene Praxis mit NixOS, Terraform/OpenTofu und Ansible.

PostgreSQL CVE-2026-2005 und 2026-2006: Warum die einzige verlässliche Verteidigung „nicht öffentlich erreichbar“ ist

Zwei PostgreSQL-RCEs in einer Woche — und das wiederkehrende Audit-Muster, das beide so gefährlich macht: öffentlich erreichbare DB-Endpunkte. Vier Standards, die das systemisch lösen.

OpenAI Frontier Governance Framework

Daily-Brief zur OpenAI-Veröffentlichung des Frontier Governance Framework am 29.05.2026. Standard-/Governance-Bewegung: erstes öffentliches OpenAI-Steuerungs-Dokument, das parallel zum internen Preparedness Framework an die EU AI Act Code of Practice für GPAI-SR-Modelle (Regulation (EU) 2024/1689) und an Kaliforniens Transparency in Frontier AI Act (SB 53) andockt. Vier Risiko-Domänen mit Tier-Schwellen (Cyber Offense, CBRN, Harmful Manipulation, Loss of Control), Safety-and-Security-Model-Report im 6-Monats-Takt, AI Safety Incident Response Plan (AIRP). Two-Entity-Verantwortung: OpenAI Ireland Limited (EU Code of Practice) / OpenAI OpCo LLC (TFAIA, US). Auf der Standards-Ebene benennt das FGF ISO 42001 und das NIST AI Risk Management Framework für die KI-Schicht sowie ISO 27001/17/18/701 + SOC 2 Type II für die Informationssicherheit. Für den Mittelstand wird das Dokument zur Beschaffungs-Unterlage: Lieferanten-Akte, DSFA-Andock, KI-Beschaffungs-Checkliste, ISO-42001-Zertifizierungsambition.

Samba CVE-2026-4408 (SAMR RCE)

Vorfall-Analyse zu CVE-2026-4408: Samba SAMR-DCE/RPC Remote Code Execution über Shell-Injection im check password script bei aktivierter %u-Substitution und samba-dcerpcd im Standalone-System-Service-Modus. Direkte Schwester von CVE-2007-2447 (username map script). Betroffen sind Samba-File-Server und klassische Non-AD-Domain-Controller; AD-DCs sind nicht betroffen. Mittelstands-Reflex: smb.conf-Inventur auf %u-Substitution im Script-Pfad, samba-Paket auf den Fix-Stand heben, ggf. Stopgap durch temporäres Deaktivieren des Scripts. NIS-2 Art. 21 und DSGVO Art. 32 berührt.

TYPO3 EXT-SA-Cluster Mai 2026

Am Abend des 19. Mai 2026 hat das TYPO3 Security Team sechs Extension-Advisories veröffentlicht — von Critical (ceselector-RCE über unserialize-Cookie) über High (news-SQLi, crawler-RCE) bis Medium (tt_address, sf_register, ke_search). Wer einen über eine Patch-Pipeline (Renovate, Dependabot o. ä.) gewarteten Stack betreibt, sieht die sechs Patch-Releases automatisiert in den Build einlaufen. Eine technische Analyse pro Lücke, einschließlich der zwei wiederkehrenden Patterns (PHP-Object-Injection und unsanitisierter SQL-Input) und der ke_search-Dreierkette aus XXE, Path Traversal und Information Disclosure.

Project Lightwell (IBM/Red Hat)

Daily-Brief zu IBM und Red Hat Project Lightwell (Ankündigung 28.05.2026, Armonk). Eine Fünf-Milliarden-Dollar-Initiative bündelt ein Engineering-Korps von über 20.000 Personen mit Frontier-AI-Modellen zu einem Trusted Enterprise Clearinghouse für die Open-Source-Lieferkette. Modell: das Clearinghouse operiert auf Dependency-Manifesten (initial pom.xml, später requirements.txt / package.json / go.mod), sieht den Quellcode der Kundin nicht und liefert Backports auf die exakt gepinnte Version in ein Repository zurück, das die Kundin kontrolliert. Initialfokus Maven/Java, Roadmap PyPI/npm/Go. Frühe Anwender sind elf US-Großbanken (Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa, Wells Fargo). Strukturell verschiebt Lightwell den Engpass von der Schwachstellen-Discovery (nach Anthropics Project Glasswing, 10.000 Findings in 30 Tagen) zur Remediation. Compliance-Andock für den DACH-Mittelstand: DORA Art. 28 IKT-Drittparteienrisiken, NIS-2 Art. 21(2)(d) Lieferketten-Pflichten, Cyber Resilience Act Hersteller-Pflichten ab 11. Dezember 2027. SBOM/CycloneDX/SPDX und SLSA-Provenance werden zum direkten Andockpunkt.

Kernel-Welle CVE-2026-46227 (SCTP)

Vorfall-Analyse zur Linux-Kernel-CVE-Sammelwelle 28.–30.05.2026: 117 CVEs in 48h. Hauptbefund CVE-2026-46227 SCTP SCTP_SENDALL Type-Confusion mit unprivilegiertem LPE-Pfad (CapEff=0) und controlled indirect call. Begleitcluster: sched_ext cgroup UAF (CVE-2026-46154), drm/gem prime-swap Race (CVE-2026-46209/-46215), drm/amdkfd SVM OOB (CVE-2026-46197), batman-adv und amdgpu/vcn. Mittelstands-Reflex: SCTP-Modul-Blacklist wo nicht aktiv, Container-Capability-Audit für /dev/dri, Kernel-Patch-Pipeline auf Tempo bringen.

OpenShift Router Doppel (SSRF + mTLS)

Vorfall-Analyse Doppel: CVE-2026-42965 + CVE-2026-46579 in der OpenShift-Router-Komponente. Erste Lücke: SSRF zu Cloud-Metadata (169.254.169.254) über FQDN-typed EndpointSlice eines Benutzers mit EndpointSlice-Write-Permission — IP-Validierungs-Schicht greift nicht auf FQDN-Auflösung. Zweite Lücke: mTLS-Client-Spoofing via Plain-HTTP, wenn Route insecureEdgeTerminationPolicy: Allow trägt und Backend X-SSL-Client-Header für Auth nutzt. Operativ für Moselwal-Mandanten mit eigener OpenShift-Plattform. NIS-2, DORA, DSGVO berührt.

Wenn das CMS Backend-Passwörter im Klartext schreibt: TYPO3 14.2 und CVE-2026-6553

CVE-2026-6553 betrifft TYPO3 14.2.0. Der Patch 14.3.0 schließt die Lücke, entfernt die bereits gespeicherten Klartext-Daten aber nicht. Was Mittelständler, die TYPO3 produktiv betreiben, jetzt konkret tun sollten.

Wenn ein composer install zur Code-Ausführung wird: CVE-2026-40176 und CVE-2026-40261 in der Composer-Lieferkette

CVE-2026-40176 und CVE-2026-40261 betreffen Composer in allen Versionen vor 2.9.6 bzw. 2.2.27 LTS. Was für die eigene Build-Pipeline daraus folgt – ohne Aktionismus, mit klaren Schritten.

KubeVirt CVE-2026-9804 (Symlink Path Traversal)

Vorfall-Analyse zu CVE-2026-9804 in KubeVirt virt-exportserver. CWE-59 Improper Link Resolution Before File Access: Symlink-basiertes Path Traversal in VMExport-Directory-Endpoint. Ein Benutzer mit Schreibzugriff auf den exportierten PVC kann einen Symlink anlegen, der nach /var/run/secrets/kubernetes.io/serviceaccount/token oder beliebigen Pod-Filesystem-Pfaden zeigt; der Exporter liest und schickt die Datei zurück. Betroffen: Red Hat OpenShift Virtualization 4 / Container Native Virtualization. Für Moselwal-Mandanten mit OpenShift-Virtualization-Stacks operativ.

Wenn der KI-Agent zum privilegierten Insider wird: Drei aktuelle CVEs in LiteLLM, Flowise und MS-Agent

Drei CVEs aus dem Frühjahr 2026 machen das strukturelle Problem produktiver KI-Agenten konkret: SQL-Injection in LiteLLM, Prompt-Injection-RCE in Flowise CSV-Agent, OS-Command-Hijacking in MS-Agent. Was die Vorfälle gemeinsam haben und welche vier Architektur-Prinzipien sie strukturell abfangen.

Drei Monate bis zum EU AI Act: Was Mittelständler bis zum 2. August 2026 sauber stehen haben sollten

Drei Monate vor dem Stichtag: Eine nüchterne Roadmap für Mittelständler, die KI im Einsatz haben und vor August 2026 prufungsfähig sein wollen. Klassifizierung, Schatten-KI-Erfassung, AI-Literacy, AV-Verträge.

Symfony Patch-Welle 20. Mai 2026 (CVE-Cluster)

Analyse der Symfony-Disclosure-Welle vom 20. Mai 2026 mit sieben CVEs in den vier supported Linien — HtmlSanitizer-Trio, UrlGenerator-Route-Bypass, Mime\Address-CRLF-Injection, X509Authenticator, SymfonyRuntime-Bypass. Stack-Mapping pro Komponente für Symfony-direkt, Sylius und TYPO3 v12.4 LTS / v13.4 LTS / v14.x. Konkrete Aufrufketten: Sylius Customer Mailer, TYPO3 EXT:form Email-Finisher, eigene Mailer-Services. Operativer Entscheidungsblock plus PCRE-Regex-Präzedenz-Erklärung.

rpmuncompress CVE-2026-44604 (Command Injection)

Vorfall-Analyse zu CVE-2026-44604 im rpmuncompress-Utility. CWE-78 OS Command Injection: Beim Aufruf mit Ziel-Verzeichnis setzt das Tool den Top-Level-Folder-Namen des Archivs in eine Shell-Kommandozeile ein, ohne Shell-Metazeichen zu escapen. Betroffen sind ZIP-, 7z- und GEM-Formate auf RHEL/Rocky/Alma/Fedora plus Container-Build-Pipelines mit UBI/S2I-Buildern. Mittelstands-Reflex: CI/CD-Audit, rpm-Paket-Update, Container-Base-Image-Rebuild.

Keycloak CVE-2026-9795 (FGAPv2 PrivEsc)

Vorfall-Analyse zu CVE-2026-9795 in Keycloak FGAPv2. CVSS 7.3 High, CWE-266 Incorrect Privilege Assignment. Vektor AV:N/AC:H/PR:H/UI:R/S:C — Eskalation aus bereits authentifizierter FGAPv2-Admin-Position in unautorisiert höhere Realm-Rollen. Achtung: GHSA-27gp-8389-hm4w gehört zur separaten CVE-2025-7784 aus Juli 2025 mit anderem Mechanismus (manage-users → self-assign realm-admin). Für Moselwal-Mandanten mit Keycloak vor Symfony-/Sylius-/TYPO3-Backends operativ.

Chromium 148 Stable (127 Fixes)

Vorfall-Analyse zur Chrome-148-Stable-Welle: 127 Sicherheits-Fixes (Chromium-Security-Team-Klassifikation), darunter 3 Critical und über 90 High. ANGLE-Cluster mit Sandbox-Escape-Pfäden (CVE-2026-9879/-9910/-9926/-9927), V8 OOB-Write (CVE-2026-9896), Skia integer overflows (CVE-2026-9998/-9909/-10012), PDFium UAF (CVE-2026-10002). Folge-Patch-Roll 148.0.7778.215/216/217 mit weiteren CVEs am 29.05. Mittelstands-Reflex: MDM-Browser-Update-Policy enforced, Electron-App-Inventur, Headless-Chrome-Container-Re-Build.

vm2 wieder geöffnet: Zwölf Sandbox-Escapes auf einen Schlag — was das für Ihre KI-Agent-Stacks bedeutet

vm2 ist keine Sandbox, sondern eine wiederholt geflickte Behauptung, eine zu sein. Heute ein Dutzend neuer kritischer Escapes. Wir empfehlen Containerisierung mit Capability-Drop, Firecracker oder isolated-vm — und keinen weiteren Patch-Sprint.

Sechs Pakete, ein Cluster, eine Botschaft: Die EVM/DeFi-npm-Welle vom 6. Mai 2026

Sechs Pakete, byte-identische telemetry.js, Aktivierung erst beim require(). Strukturell die zweite Welle in vier Tagen. Allowlist-Mirror, Token-Inventur, Audit-Pass auf MCP-Tool-Definitionen — was wir bei Bestandskunden umgesetzt haben.

MCP-Server in der Breite ausführbar: Was die Anthropic-SDK-Kette für KI-Agenten im Mittelstand bedeutet

Der STDIO-Transport im MCP-SDK ruft jedes Kommando direkt als Subprozess auf. ~200.000 erreichbare Server, 7.000+ Pakete, 150 Mio. Downloads. Anthropic patcht das nicht. Verantwortung bleibt bei den Implementierern.

CVE-2026-46333 ptrace LPE

Technische Analyse von CVE-2026-46333 auf Basis des Qualys-Detail-Advisory: Original-Kernel-Code aus kernel/ptrace.c, do_exit()-Race-Window zwischen exit_mm() und exit_files(), pidfd_getfd()-Stack, vier dokumentierte Exploit-Targets (chage, ssh-keysign, pkexec, accounts-daemon), Pumpkin-Chang-systemd-run-Trick, Ubuntu-YAMA-Sonderfall, Fedora-SELinux-SetPassword-Workaround. Plus Stack-Mapping für Container-Hosts, Kubernetes-Worker, CI-Runner; Mitigation per kernel.yama.ptrace_scope=2 mit operativen Kosten; Detection-Skizzen für Tetragon, Falco, auditd.

PamDOORa: Wenn die Authentifizierung selbst zur Hintertür wird — was eine PAM-basierte Linux-Backdoor für Mittelstand-Stacks bedeutet

Neue PAM-basierte Linux-Backdoor PamDOORa: keine CVE, sondern Detection-und-Hardening-Frage. Vier Prüfpfade, fünf Hardening-Punkte, vier Architektur-Schichten oberhalb des Hosts — inkl. opkssh/OIDC, YubiKey-VPN, K8s-Worker und Bastion-Pattern.

Semantic Kernel: Wenn der Prompt zur Shell wird — was die Microsoft-Disclosure für Ihre Agent-Architektur bedeutet

Zwei CVEs in Microsoft Semantic Kernel zeigen, dass Prompt-Injection eine Architektur-Klasse ist, kein Bug. Wir empfehlen Patch-Sprung, Plugin-Inventur, Wechsel auf durable Vector-Stores und harte Prozessgrenzen zwischen Modell-Output und Host-Code.

Comment and Control: Drei populäre KI-Coding-Agenten, ein gemeinsames Architekturproblem

Drei KI-Coding-Agenten von drei Anbietern, dieselbe Architekturschwäche: untrusted GitHub-Kommentare steuern Tool-Aufrufe und stehlen Action-Secrets. Anthropic spricht das offen aus. Wir empfehlen Tool-Allowlist, Trennung von Lese- und Schreib-Stufe, Quarantäne externer Beiträge.

Symfony CVE-2026-48489 (Firewall-Bypass)

Vorfall-Analyse zu CVE-2026-48489: Authorization-Bypass / Local Request Forgery in Symfony Security-HTTP. Bei einer form-login-Firewall mit failure_forward: true übernimmt der DefaultAuthenticationFailureHandler den client-kontrollierten _failure_path als Ziel eines internen Subrequests; weil die Firewall Subrequests bewusst überspringt, läuft der access_control-AccessListener nicht. Ein unauthentifizierter POST mit _failure_path=/admin/... liest GET-Routen hinter einer ^/admin-Regel aus — ohne Fehlkonfiguration. Eintrittsschwelle failure_forward: true (Nicht-Default). Fix-Stände 5.4.53 / 6.4.41 / 7.4.13 / 8.0.13. Operative Einschätzung high, kein offizieller CVSS (NVD noch RESERVED).

Symfony CVE-2026-48736 (SSRF-Bypass)

Vorfall-Analyse zu CVE-2026-48736: SSRF-Schutz-Bypass in Symfony HTTP Client / HTTP Foundation. Der NoPrivateNetworkHttpClient blockiert private Netze über IpUtils::PRIVATE_SUBNETS, die Liste enthielt aber nicht 6to4 (2002::/16), Teredo (2001::/32), NAT64 (64:ff9b::/96, 64:ff9b:1::/48) und IPv4-compatible (::/96). checkIp6() ist ein reiner CIDR-Vergleich und extrahiert das eingebettete IPv4 nie. Hebel deployment-abhängig (IPv6/NAT64-Routing). Empfehlung: Patch plus Egress-Defense-in-Depth. Operative Einschätzung medium, kein offizieller CVSS (NVD noch RESERVED). Schwester-Lage zu CVE-2026-48489, geteilter Patch-Pfad.

Fake Claude-Code-Installer (ClickFix/Polyglot)

Technische Vorfall-Analyse zur Cyderes-Howler-Cell-Kampagne gegen Claude-Code-Erstnutzer: SEO-Poisoning + ClickFix (Win+R / mshta.exe), 6,7-MB-MP3/HTA-Polyglot von download.version-516[.]com, 32-bit-PowerShell mit AMSI-Bypass, per-Opfer-Subdomain auf oakenfjrod[.]ru (MD5 aus COMPUTERNAME+USERNAME), ~17-MB-Stage-3 und reflektiver .NET-Infostealer via Assembly.Load(byte[]), C2 185.177.239.255. Browser-Credential-Diebstahl, komplett fileless nach Stufe 1. Anthropic nicht kompromittiert (Marken-Imitation). Detection: mshta-Netzverkehr, 32-bit-PowerShell aus COM-Task, .NET-Assembly-Load ohne Datei (ETW), DNS-Wildcard *.oakenfjrod[.]ru. Ergänzt die strategische Einordnung vom 26.05. Operative Einschätzung high (aktive Kampagne, social-engineering-gated).

Miasma npm-Wurm (@redhat-cloud-services)

Vorfall-Analyse zur Miasma-Welle: 32 kompromittierte @redhat-cloud-services-npm-Pakete, Variante des open-sourcten Mini-Shai-Hulud von TeamPCP. Patient Zero war ein kompromittierter Red-Hat-Mitarbeiter-GitHub-Account mit Orphan-Commits an zwei RedHatInsights-Repos; Veröffentlichung via GitHub-Actions-OIDC-Trusted-Publishing inkl. Sigstore. preinstall-Hook führt ein 4,2-MB-Obfuskat aus, räumt GitHub/AWS/GCP/Azure/Kubernetes/Vault/npm/SSH/Docker-Credentials ab, sammelt neu auch GCP-/Azure-Cloud-Identitäten, setzt kitty-monitor-Persistenz und einen destruktiven gh-token-monitor-Dead-Man-Switch. Operative Einschätzung: kritisch. Reihenfolge: isolieren, Persistenz entfernen, dann rotieren.

Fragnesia (CVE-2026-46300): dritte XFRM-LPE in drei Wochen — espintcp ULP wird zur One-Byte-Schreibprimitive

Dritte Linux-Kernel-LPE in drei Wochen — nach Copy Fail und Dirty Frag jetzt Fragnesia (CVE-2026-46300, CVSS-Klasse high). Logikfehler im ESP-in-TCP-Pfad (espintcp ULP): bereits gespliete File-Pages werden als ESP-Ciphertext behandelt und in place entschlüsselt. AES-GCM-Keystream wird in den Page-Cache jeder lesbaren Datei XOR’t, IV-Nonce-kontrolliert — deterministische One-Byte-Schreibprimitive ohne Race. Public PoC überschreibt /usr/bin/su mit 192-Byte-ELF-Stub. Mitigation identisch zu Dirty Frag, aber drop_caches zwingend nachschalten.

Wenn das Siegel echt ist und der Inhalt nicht: CVE-2026-45321, Mini Shai-Hulud und die erste validiert-signierte kompromittierte npm-Lieferung

Mini Shai-Hulud bricht erstmals die SLSA-Provenance-Annahme: kompromittierte npm-Pakete tragen gültige Signaturen, weil der Wurm die legitime Build-Pipeline selbst entführt hat. Eine cosign-Verifikation reicht 2026 nicht mehr allein; eine zweite Verifikationsstufe (Manifest-Diff gegen Baseline) wird zur regulären operativen Stage.

TYPO3 14.3.1 + 13.4.29

Was die Bugfix-Releases 14.3.1 und 13.4.29 ändern, welche Bugs betreiberrelevant sind, und in welcher Reihenfolge Sie ausrollen sollten.

NGINX Rift CVE-2026-42945 Mai 2026

CVE-2026-42945 NGINX Rift trifft jeden NGINX 0.6.27–1.30.0 und NGINX Plus R32–R36, wenn die Konfiguration eine rewrite-Direktive mit unbenannter Capture, Fragezeichen-Replacement und Folge-Direktive enthält. Patch ist seit 13.05.2026 verfügbar; die nachhaltigere Mitigation ist die Konfigurations-Disziplin auf benannte Captures.

OpenShift CVE-2026-1784 (Ingress-RCE)

Vorfall-Analyse zu CVE-2026-1784: Config-Injection → RCE im OpenShift-Ingress-Operator. Das Feld spec.path eines Route-Objekts wird unzureichend validiert; tenant-kontrollierter Inhalt fließt in die vom ose-cluster-ingress-operator generierte HAProxy-Konfiguration des gemeinsamen Routers. CVSS v3.1 8.8 (AV:L/AC:L/PR:L/S:C/C:H/I:H/A:H), CWE-15. Eintrittsschwelle: Schreibrecht auf Route-Objekte in einem Namespace. Scope Changed — die Wirkung verlässt den Tenant-Namespace und trifft den cluster-weiten Ingress. Fix über Red-Hat-Errata der jeweiligen 4.x-Linie; Stopgap: Admission-Policy auf spec.path.

Apache Solr CVE-2026-44825 (Default-Nutzer)

Vorfall-Analyse zu CVE-2026-44825: unsichere Default-Konfiguration in Apache Solr. Das BasicAuth-Setup-Tool bin/solr auth enable schreibt in Solr 9.4.0–9.10.1 und 10.0.0 neben dem selbst gewählten Konto vier Template-Nutzer (superadmin, admin, search, index) mit öffentlich bekannten Passwörtern in die security.json. Ein Angreifer mit Netzzugang zum Solr-Endpoint erhält damit vollen administrativen Zugriff. CVSS v3.1 8.1 (AV:N/AC:H/PR:N/S:U/C:H/I:H/A:H), CWE-798 + CWE-1188. On-stack über TYPO3 EXT:solr. Workaround: Template-Nutzer löschen oder neu passworten; Fix in den kommenden Versionen 9.11.0 / 10.1.0.

PHP 8.4.21 + 8.3.31 PDO-Firebird

Sammel-Sicherheitsfreigabe der PHP-Linien 8.2.31, 8.3.31, 8.4.21 und 8.5.6 vom 7. Mai 2026 mit acht bis dreizehn Patches je Linie. Schwerpunkt: NUL-Byte-SQL-Injection im PDO-Firebird-Treiber (CVE-2025-14179) — und warum die Mai-Welle in der Composer-/Wolfi-Pipeline keine quartalsweise Aufgabe sein darf.

node-ipc Supply-Chain Mai 2026

node-ipc@9.1.6, 9.2.3 und 12.0.1 enthielten am 14.05.2026 einen identischen 80-KB-Stealer, der über 90 Credential-Kategorien per DNS-TXT-Tunneling exfiltrierte. Initialvektor: Wiederregistrierung der abgelaufenen Maintainer-Mail-Domain atlantis-software.net. Wer im 11h-Fenster baute — auch transitiv über Webpack/Vite — muss den Build-Host als kompromittiert behandeln.

Composer-Token-Leak Mai 2026

Was die Composer-Token-Leak-Schwachstelle auslöst, in welchen CI-Setups sie kritisch ist, wie Sie patchen — und welche Token-TTLs Sie für Self-hosted-Runner und GitHub-Apps annehmen müssen.

FrankenPHP 1.12.3 schließt CVE-2026-45062 — Unicode-Pfad-Splitting wird zum RCE-Pfad

FrankenPHP 1.12.3 schließt CVE-2026-45062 (GHSA-3g8v-8r37-cgjm, CVSS 8.1 High): die <code>splitPos()</code>-Funktion in <code>cgi.go</code> nutzte <code>search.IgnoreCase</code>-Unicode-Equivalence-Folding für non-ASCII-Pfadbytes. Zwei Logikfehler erlauben, dass Dateien wie <code>shellﺒphp</code> oder <code>shell.ｐhp</code> als PHP-Skripte ausgeführt werden. Wo der Angreifer eine Datei im FrankenPHP-Web-Root platzieren kann (Upload, File-Storage), wird daraus unauthentisierter RCE. Wir haben für alle Bestandskunden die TYPO3- und Sylius-Container-Images mit FrankenPHP 1.12.3 neu gebaut und ausgerollt.

EU AI Act Digital Omnibus

Die Mai-Einigung zum Digital Omnibus am EU AI Act erweitert die SME-Privilegien auf eine neue Schicht Small Mid-Cap-Unternehmen bis 750 Mitarbeiter und 150 Mio EUR Umsatz, schiebt die High-Risk-AI-Stichtage auf Dezember 2027 und August 2028 und verlegt die Artikel-50-Watermarking-Pflicht auf den 2. Dezember 2026. Die rechtliche Einordnung bleibt bei Anwalt und Datenschutzbeauftragten — die Plattform-Seite lässt sich jetzt vorbereiten.

Apache HTTP/2 CVE-2026-23918

Apache mod_http2 Double-Free in Apache 2.4.66 (CVE-2026-23918, CVSS 8.8). DoS trivial, RCE remote auf Debian-/Ubuntu-Default mit APR-mmap-Allokator. Zwei öffentliche PoCs seit Disclosure-Woche, fix in 2.4.67. Wir prüfen, patchen und validieren TYPO3- und Sylius-Hosting-Frontlines.

VS-Code-/Copilot-Cluster Mai 2026

Microsoft hat am 12. Mai 2026 sechs Schwachstellen in VS Code und GitHub Copilot offengelegt und gepatcht. Strukturell schwerster Befund: CVE-2026-41109 (CVSS 8.8) — ein Copilot-/VS-Code-Security-Feature-Bypass, der den Telemetry-Consent-Flag lautlos umschaltet und Quellcode über den Suggestion-Logging-Pfad ausleitet. Wir prüfen, patchen und validieren produktive Entwickler-Workstations und Mandanten-Coding-Agent-Plattformen.

Pwn2Own Berlin 2026 - KI-Tooling

Tagesbriefing zur Pwn2Own Berlin 2026 (14.–16.05.): KI-Tooling stand erstmals im Wettbewerbszentrum, mehrere Coding-Agenten und LLM-Gateways fielen. Strukturelle Schwächen statt Einzelfehler — und was das für Patch-Management, Threat-Modell und NIS-2 im Mittelstand bedeutet.

PHP JPEG-Memory-Safety (CVE-2025-14177)

PHP-Heap-Information-Disclosure über getimagesize() (CVE-2025-14177) und Heap-Buffer-Overflow in iptcembed() — beide seit Ende November 2025 in PHP-Upstream gepatcht. Patch-Linie und strukturelle Upload-Härtung für TYPO3-, Sylius- und Composer-basierte Plattformen.

HTTP/2 Bomb (HPACK + Window-Stall)

Vorfall-Analyse zur HTTP/2 Bomb: eine von OpenAI Codex entdeckte Remote-Denial-of-Service gegen die Standard-HTTP/2-Konfiguration der meisten großen Webserver. Sie verkettet eine HPACK-Indexed-Reference-Bombe (1 Wire-Byte → ~70 bis ~4.000 Byte Server-Allokation aus Per-Entry-Bookkeeping) mit einem HTTP/2-Window-Stall (Zero-Byte-Window + 1-Byte-WINDOW_UPDATE-Drip), der jede Allokation festhält. Betroffen: nginx 1.29.7 (~70:1), Apache httpd 2.4.67 (~4.000:1), Microsoft IIS (~68:1), Envoy 1.37.2 (~5.700:1), Cloudflare Pingora (~62:1). Ein Heim-PC an 100 Mbit/s bindet gegen Apache/Envoy ~32 GB in rund 20 Sekunden. Öffentlicher, dockerisierter PoC. nginx-Fix in 1.29.8 (max_headers, Default 1000), Apache-Fix in mod_http2 v2.0.41 (Trunk; CVE-2026-49975), IIS/Envoy/Pingora zum Veröffentlichungszeitpunkt offen. Go-basierte Server (Caddy, Traefik) sind nach Quellcode-Analyse strukturell weitgehend geschützt.

DirtyDecrypt (CVE-2026-31635)

Linux-Kernel-Local-Privilege-Escalation im RxGK-Subsystem (DirtyDecrypt / DirtyCBC) — fehlender COW-Guard in rxgk_decrypt_skb, technisch CVE-2026-31635. Patch-Linie, Modul-Blacklist als Workaround, Talos-/Flatcar-/Bottlerocket-Strategie für Kubernetes-Worker.

CVE-2026-31431 "Copy Fail" — warum der Kernel zählt

Eine triviale lokale Privileg-Eskalation im Linux-Kernel. Container-Distribution irrelevant, Verantwortung liegt auf dem Host. Was wir bei Moselwal umgesetzt haben.

TeamPCP GitHub-Claim Mai 2026

Am 19. Mai 2026 hat die Gruppe TeamPCP auf BreachForum den Verkauf von rund 4.000 GitHub-internen Repositories ausgeschrieben. GitHub untersucht, hat den Vorfall aber nicht als bestätigten Breach gelabelt — Customer-Daten außerhalb der internen Repos seien nach aktuellem Stand nicht betroffen. Was wir wissen, was nicht, und was Mittelständler heute trotzdem tun sollten.

OpenAI Lockdown Mode

Tagesbriefing zum breiten Lockdown-Mode-Rollout vom 6. Juni 2026: Prompt Injection wird nicht im Modell geloest, sondern per deterministischer Capability-Governance am Harness - die Blaupause fuer Faehigkeits-Profile, Egress-Allowlists und MCP-Tool-Gates im eigenen Agenten-Stack.

5 Irrtümer: TYPO3 auf Kubernetes

Fünf Annahmen, die TYPO3-auf-Kubernetes-Projekte unnötig komplex machen: das zwingende Shared Filesystem, Kubernetes als automatische Hochverfügbarkeit, mehr Pods als Performance-Lösung, Container als Cloud-Native, und Kubernetes für jedes Projekt. Keiner ist ein TYPO3-Problem — alle stammen aus der Single-Server-Welt. Mit der Faustregel, wann Kubernetes sich wirklich lohnt.

TYPO3 als signiertes OCI-Artefakt

Standpunkt/Architektur: TYPO3 nicht als individuelles Container-Image pro Projekt deployen, sondern Runtime (gehärtetes Golden Image: FrankenPHP, PHP, Extensions, Caddy) und Anwendung (TYPO3-Core, vendor, Extensions, Sitepackage) trennen und die Anwendung als signiertes OCI-Artefakt ausliefern. Kein composer install zur Startzeit. Vorteile: kleinere Deployments, schnellere Rollbacks, bessere Supply-Chain, Reproduzierbarkeit — plus offene Grenzen.

Merkle Tree Certificates (Let's Encrypt)

MTCs stellen Zertifikate im Batch aus; EINE Post-Quantum-Signatur deckt den ganzen Batch ab, der Browser haelt die Batch-Signaturen (Landmarks) out-of-band aktuell, der Handshake traegt nur noch eine Signatur, einen Public Key und einen winzigen Inclusion-Proof. Zweiteiliger Erklaertext: Alltagssprache plus technischer Deep-Dive (Groessen, Mechanik, Certificate-Transparency-by-Design, Fahrplan Staging Ende 2026 / Produktion 2027, was Betreiber und ACME-Client-Maintainer heute tun sollten).

IronWorm (Rust-npm-Worm)

Rust-npm-Worm IronWorm laeuft ueber einen preinstall-Hook, erntet 86 Umgebungsvariablen samt KI-Provider-Keys und ~/.claude-Credentials, publiziert sich in CI ueber npm Trusted Publishing weiter, exfiltriert ohne C2 ueber ausgetauschte GitHub-Actions-Workflows und versteckt sich per eBPF-Rootkit (das bei Kernel-Lockdown auffliegt). Mit Mitigation, Detection-IOCs, Root-Cause-Deep-Dive und Betreiberempfehlung; Paketliste an JFrog delegiert.

FFmpeg 21 Zero-Days (KI-Agent)

Ein autonomer KI-Security-Agent fand 21 Zero-Days in rund 1,5 Mio. Zeilen FFmpeg-C; acht tragen CVE-Nummern (CVE-2026-39210 bis -39218), einige Bugs lagen 15-23 Jahre latent. Der AV1-RTP-Depacketizer ist zu einem unauthentifizierten RCE-Primitiv (183-Byte-Paket, ffmpeg -i rtsp://...) ausgearbeitet. FFmpeg steckt nicht nur im System-Paket, sondern in Container-Images, Python-Wheels und Appliances. Mit Mitigation, Detection, Betreiberempfehlung und KI-Security-Einordnung.

GitLab Patch-Release (CVE-2026-6552/10087)

Planmäßiges GitLab-Sammel-Patch-Release (10.06.2026): zwölf Fixes, vier High. Headline sind zwei CVSS-8.7-Lücken der Enterprise Edition — CVE-2026-6552 (Konto-Übernahme über die Group-SAML-Identity-API, Owner-Vorbedingung) und CVE-2026-10087 (XSS im Analytics Dashboard). Dazu CVE-2026-7250 (unauthentifizierter DoS in der Grape-API, CE/EE) und CVE-2026-9204 (SSRF im Gitaly-Repository-Import, CE/EE). Betroffen nur self-managed unterhalb 18.10.8 / 18.11.5 / 19.0.2; GitLab.com und Dedicated sind versorgt. Eine CI/CD-Drehscheibe hält Code und Secrets zugleich — Patch-Kadenz ist Lieferketten-Sicherheit.

ImageMagick CVE-2026-46557 (fx-Stack-Overflow)

ImageMagick CVE-2026-46557: unkontrollierte Rekursion in der fx-Ausdrucksauswertung lässt den Stack überlaufen (CWE-674). CVSS 6.2, AV:L, reiner Denial-of-Service — kein RCE, kein Datenabfluss. Fix in aktuellen ImageMagick-Releases und Magick.NET 14.13.1. Editorischer Kern bewusst auf die Klasse: ImageMagick/GraphicsMagick hinter TYPO3 und Sylius ist ein Parser für nicht vertrauenswürdige Uploads; die dateigetriebenen Schwester-CVEs (z. B. SVG-OOM CVE-2026-25985, 7.5) sind die gefährlichere Spielart. policy.xml-Härtung (Ressourcen-Limits, MSL/URL/MVG/SVG sperren) und Worker-Entkopplung schließen die Klasse, nicht nur diese CVE.

LangGraph Checkpointer-Kette (CVE-2026-28277)

Drei am 12.06.2026 von Check Point Research offengelegte LangGraph-Lücken treffen die Gedächtnisschicht (Checkpointer) zustandsbehafteter KI-Agenten. CVE-2025-67644 (CVSS 7.3): SQL-Injection im SQLite-Checkpointer über Metadaten-Filterschlüssel. CVE-2026-28277 (6.8): unsichere msgpack-Deserialisierung beim Checkpoint-Laden. Verkettet ergeben sie RCE im Laufzeitkontext des Agenten — die SQLi schiebt eine gefälschte Checkpoint-Zeile mit angreiferkontrolliertem BLOB ein, den der Decoder rekonstruiert. CVE-2026-27022 (6.5): RediSearch-Query-Injection im Redis-Checkpointer (Zugriffskontroll-Bypass). Vorbedingung: selbst-gehostet, exponierter get_state_history()-Pfad, nutzerkontrollierter Filter; LangSmith-gehostet nicht betroffen. Architektur-Lehre: Ein KI-Agent ist eine privilegierte Identität — Patch schließt die Stelle, Filter-Allowlist + abgedichteter Schreibpfad + minimale Rechte schließen die Klasse. Fix: langgraph 1.0.10 / -sqlite 3.0.1 / -redis 1.0.1.

OpenSSL CVE-2026-45447 (PKCS7-UAF)

CVE-2026-45447: Heap Use-after-Free in PKCS7_verify() — ein leeres ASN.1-SET im digestAlgorithms-Feld lässt einen caller-owned BIO fälschlich freigeben (Absturz, Heap-Korruption, in bestimmten Kontexten RCE). Vorbedingung: Verarbeitung angreiferkontrollierter PKCS#7-/S-MIME-Signaturen über die Legacy-PKCS7-API; die CMS-API ist nicht betroffen. Daneben CVE-2026-34182 (CMS-AuthEnvelopedData-Fälschung), 34183 (QUIC-Speicher-DoS), 35188 (OCSP-Double-Free) und Low-Befunde. OpenSSL ist der TLS-/Krypto-Boden unter PHP, Node, nginx/Apache, PostgreSQL, Redis, curl und Container-Images: Floor-Update plus Neustart der gelinkten Dienste. Architektur-Lehre: Patch schließt die Stelle, PKCS7→CMS-Migration schließt die Klasse. Fix 4.0.1/3.6.3/3.5.7/3.4.6/3.0.21/1.1.1zh/1.0.2zq.

Langflow CVE-2026-5027 (Path Traversal → RCE)

CVE-2026-5027 (CVSS 8.8) ist ein Path Traversal im Langflow-Datei-Upload (POST /api/v2/files): Der filename-Parameter aus dem Multipart-Body wird nicht gesäubert, sodass sich Dateien über ../-Sequenzen an beliebige Stellen schreiben lassen. Weil Langflow standardmäßig eine unauthentifizierte Auto-Anmeldung aktiviert, genügt eine einzige Anfrage ohne Zugangsdaten bis zur RCE. Tenable hat die Lücke am 27.03.2026 offengelegt (TRA-2026-26), behoben in Langflow 1.9.0 vom 15.04.2026; VulnCheck meldet seit dem 10.06. aktive Ausnutzung im Internet (bisher harmlose Testdateien). Censys: ~7.000 öffentlich erreichbare Instanzen, mehrheitlich Nordamerika. Architektur-Lehre: Ein KI-Bau-Tool ist ein produktiver, internetfähiger Dienst mit privilegierten Secrets — Patch schließt die Stelle, Expositionskontrolle + erzwungene Authentifizierung + Inventarisierung schließen die Klasse.

OLG Hamm 4 UKl 3/25 (KI-Haftung)

Das OLG Hamm hat am 12. Mai 2026 entschieden, dass eine GmbH für Falschaussagen ihres KI-Chatbots vollumfänglich haftet (Az. 4 UKl 3/25, § 5 UWG). Die Verkehrssicherungspflicht-Verteidigung greift nicht, korrekte Trainingsdaten entlasten nicht. Die Architektur-Antwort: kontrollierte Generierung statt freischwebendem LLM — RAG-Pipeline mit verifiziertem Korpus, Access-Class-Schicht für sensible Themen, Tool-basierte Web-Architektur (WebMCP), Audit-Trail mit Ed25519- und C2PA-Provenance.

Dirty Frag (CVE-2026-43284): Linux-Kernel-LPE — Module blacklisten, IPsec abwägen, Customer-Stacks schützen

Universelle Linux-LPE „Dirty Frag“ trifft alle Kernel seit 2017. Mitigation per Kernel-Modul-Blacklist mit klaren Trade-offs. Achter Trust-/CVE-Post im Cluster, in direkter Linie zu Copy Fail.

TYPO3 auf K8s ohne RWX-Volume

Ein Shared Filesystem ist fuer TYPO3 auf Kubernetes nicht automatisch die beste Loesung — oft nur die aus der Single-Server-Zeit uebernommene. Trennt man Cache-Metadaten (zentral) von Cache-Dateien (lokal pro Pod, reproduzierbar), entfaellt das RWX-Volume fuer den Cache: weniger Infrastruktur, schnellere Pods, eine Ausfallstelle weniger. Persistente Assets wie fileadmin gehoeren in Object Storage ueber FAL. Daraus entstand das Cluster File Backend fuer TYPO3, das ich entwickle und pflege.