Blog
Einblicke in Softwareentwicklung, Sicherheit und Technologie von unserem Team.
Next.js hat 13 Sicherheitslücken geschlossen. Self-hosted Teams tragen die größte Last.
Vercel hat am 7. Mai ein koordiniertes Sicherheitsrelease veröffentlicht: 13 Next.js- und React-Server-Components-Advisories zu DoS, SSRF, Cache-Poisoning und Middleware-Bypasses im App Router. Self-hosted Teams, die Node betreiben, sind am stärksten betroffen. Die eigentliche Erkenntnis: Middleware war nie eine Autorisierungsgrenze.
Ein KI-Agent hat eine Produktionsdatenbank in 9 Sekunden vernichtet. Was dabei schiefgelaufen ist.
Ein Cursor-Agent mit Claude Opus 4.6 hat autonom die gesamte Produktionsdatenbank und alle Backups eines Startups über einen einzigen API-Aufruf gelöscht. Der Vorfall deckt echte Schwachstellen auf, wenn Teams KI-Agenten Zugang zur Produktionsinfrastruktur gewähren.
4 Millionen Entwickler nutzen KI-Coding-Agenten. Prüft eigentlich jemand den Output?
OpenAIs Codex hat diesen Monat 4 Millionen wöchentliche Entwickler erreicht – vor nur zwei Wochen waren es noch 3 Millionen. In derselben Woche wurde GPT-5.5 veröffentlicht. Gleichzeitig zeigt die Sicherheitsforschung immer wieder: KI-generierter Code gibt Secrets doppelt so häufig preis wie menschlicher Code, und fast die Hälfte davon enthält bekannte Schwachstellen. Wir erklären, was Entwicklungsteams jetzt konkret tun sollten.
Drei Windows-Zero-Days in freier Wildbahn. Einer ist gepatcht. Was Sie bei den anderen zwei tun sollten.
Ein frustrierter Sicherheitsforscher hat drei Windows-Exploits zur Rechteausweitung veröffentlicht, Angreifer setzen diese bereits gegen Unternehmensziele ein – und nur einer davon ist gepatcht. Wir erklären, was Entwicklungsteams jetzt konkret tun sollten.
KI findet Ihre Sicherheitslücken schneller, als Sie sie schließen können
Anthropics Mythos-Modell hat diese Woche Tausende von Zero-Days in führender Software entdeckt. Eine kritische Schwachstelle in einem Python-Notebook wurde in 10 Stunden ausgenutzt. Das Zeitfenster für Patches ist zusammengebrochen – und die meisten Teams sind nicht vorbereitet.
Der LiteLLM-Supply-Chain-Angriff ist ein Weckruf für jedes Team, das KI-Tools einsetzt
Ein 40-minütiges Zeitfenster auf PyPI kompromittierte tausende von Umgebungen. Der Trivy/LiteLLM-Supply-Chain-Angriff ist die bedeutendste Entwicklersicherheitsmeldung der Woche – mit konkreten Lektionen für jedes Team, das Python-Abhängigkeiten ohne feste Versionierung einsetzt.
Apple verbannt Vibe-Coding-Apps – und ehrlich gesagt verstehen wir das
Apple hat letzte Woche die KI-App-Builder-App „Anything" aus dem App Store entfernt und dabei auf Regeln zur Codeausführung verwiesen. Es ist das dritte Vibe-Coding-Tool, das Apple in diesem Monat ins Visier genommen hat. Warum das für jedes Team, das auf iOS entwickelt, relevant ist – und was Sie dagegen tun können.
KI-Agenten übernehmen jetzt Ihre Tastatur. Was kann da schiefgehen?
Claude kann jetzt Ihren Mac steuern, OpenClaw geht viral, und jedes KI-Labor will, dass sein Modell in Ihrem Namen auf Schaltflächen klickt. Worüber sich Entwicklungsteams wirklich Gedanken machen sollten – und was sie dagegen tun können.
Ein Chrome-Zero-Day wird gerade aktiv ausgenutzt. Was Ihr Entwicklungsteam jetzt wirklich tun sollte.
CVE-2026-3910 zielt auf Chromes V8-JavaScript-Engine und wird bereits in echten Angriffen eingesetzt. Betroffen ist jeder Chromium-basierte Browser, den Ihr Team verwendet. Wir erklären, was passiert ist, warum das weit über „Chrome einfach updaten" hinausgeht – und welche praktischen Schritte die meisten Teams noch immer überspringen.
Ihre KI-Coding-Tools sind schnell. Ihre Pipeline nicht. Das ist das eigentliche Problem.
Der aktuelle Harness-DevOps-Bericht und Anthropics neues Code-Review-Tool erzählen dieselbe Geschichte: Teams generieren Code schneller als je zuvor, doch Testing, Sicherheit und Deployment kommen nicht mehr hinterher. Was Sie jetzt konkret tun sollten.
Cursors Always-on-Coding-Agenten sind da. Sind Ihre Teams bereit?
Cursor hat diese Woche Automations eingeführt – KI-Coding-Agenten, die kontinuierlich und ohne menschliche Eingaben laufen. Wir erklären, was das für Entwicklungsteams, Codequalität und Sicherheit bedeutet.
Der BeyondTrust RCE ist schlimmer als Sie denken
CVE-2026-1731 schaffte den Weg von der Offenlegung bis zur aktiven Ransomware-Ausnutzung in weniger als einer Woche. Wenn Ihr Team Tools für Remote-Support oder privilegierten Zugriff einsetzt, erfahren Sie hier, was jetzt zu tun ist – und was dieses Muster für Ihre Zugriffsarchitektur bedeutet.