SecureChain für Open-Source-Software

Das Wichtigste in Kürze: FedRAMP 20x ist für die Klassen A, B und C in Kraft getreten, und die Vorschriften für 2026 werden am 1. Januar 2027 allgemein verbindlich. Ein wichtiger Sicherheitsindikator beschreibt die automatische Überwachung...

Das Wichtigste im Überblick: Die Mindestanforderungen der CISA für 2026 ersetzten am 29. Juli 2026 die Basisvorgaben der National Telecommunications and Information Administration (NTIA) aus dem Jahr 2021 und legten 17 Datenfelder fest. Das Office of Management and...

Die Kurzfassung Was: Ein bösartiges „[email protected]“ tauchte am 8. Oktober 2026 um 01:12 Uhr UTC bei npm auf. Diesmal handelt es sich nicht um einen Typosquat. Es ist das echte Tensorlake TypeScript SDK, entwickelt vom Projektteam...

Erinnert ihr euch noch an „git blame“? Irgendwann wird jemand diesen Befehl auf die übernommene Codebasis anwenden, und dabei werden Entscheidungen ans Licht kommen, die ihr vor Jahren getroffen habt. Die Person wird sich wundern. Vielleicht wird die...

Du führst „npm audit“ aus, und da sind sie: 14 Schwachstellen (3 mit geringem Risiko, 6 mit mittlerem Risiko, 4 mit hohem Risiko, 1 kritisch). Na, sieh dir das mal an, vierzehn Schwachstellen. Das ist wahrscheinlich ein Projekt, das...

Wichtige Erkenntnisse: Seit dem 11. September 2026 sind Sie gemäß Artikel 14 des CRA verpflichtet, innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Sicherheitslücke in Ihrem Produkt eine Meldung zu erstatten. Eine übergeordnete…

Das Wichtigste in Kürze: Sowohl Tippfehler als auch KI-Halluzinationen liefern Angreifern einen verwertbaren Paketnamen, und für beides ist kein Exploit erforderlich. Die Herkunftsangabe belegt, woher ein Artefakt stammt, nicht jedoch, dass der Commit…

Jedes „npm install“ ist ein Vertrauensakt. Hast du schon einmal auf deinen „node_modules“-Ordner gestarrt und dich gefragt: Was ist hier eigentlich drin? In der modernen Softwareentwicklung leben wir in…

Haben Sie schon einmal ein LLM gebeten, Code zu generieren, und sich gefragt: Ist das eigentlich sicher? Da Unternehmen „KI-Einhörner“ einstellen und Tools wie Claude oder Copilot zum Standard werden, ist es leicht, ...

Wichtige Erkenntnisse: „Third Coming“ und „Miasma“ nutzten missbräuchlich vertrauenswürdige CI-Veröffentlichungswege aus, anstatt gestohlene, langfristig gültige Maintainer-Token zu verwenden. Eine Registry, die den Inhalt von Releases überprüft, kann solche Veröffentlichungen auch dann abfangen, wenn die...

Wichtige Erkenntnisse: Durch das Scannen erfahren Sie, was sich in einer JAR-Datei befindet, nicht jedoch, ob der Inhalt mit dem vom Projekt veröffentlichten Quellcode übereinstimmt. Ein manipulierter Build mit gültigen Koordinaten ist die Lücke, die weder…