Blog-Archiv 2026

Blog

Supply Chain Security

npm- und Composer-Lieferketten-Vorfälle, MCP-/AI-Agent-Pakete, Wolfi/apko Build-Pipelines, SBOM, Provenance, signierte Distributionen.

pinup-Meinung 1: Nichts ohne Grund

pinup hat Meinungen

pinup statt Renovate-Runner

Renovate/containerbase: ein halber Sieg

OpenTofu-Provider aus eigener OCI-Registry

Signing & Identity: wer hat committed?

Code als OCI-Artefakt (ORAS)

Renovate: Fast-Lane für eigene Dependencies

TYPO3 als signiertes OCI-Artefakt

Wenn das Siegel echt ist und der Inhalt nicht: CVE-2026-45321, Mini Shai-Hulud und die erste validiert-signierte kompromittierte npm-Lieferung

Comment and Control: Drei populäre KI-Coding-Agenten, ein gemeinsames Architekturproblem

CVE-2026-7598: Warum diese libssh2-Schwachstelle der Lackmustest für deine Supply-Chain-Disziplin ist