Spruch des Tages
„Ich kann freilich nicht sagen, ob es besser werden wird wenn es anders wird; aber so viel kann ich sagen, es muß anders werden, wenn es gut werden soll.“— Georg Christoph Lichtenberg
Witz des Tages
Warum bekam der Entwickler beim Bäcker kein Brötchen? Seine Anfrage war nicht ausreichend spezifiziert.
Redaktion Blog Leuffen.deBlog Leuffen.de
Neues, sauber sortiert.
Security, Web-Technologien, KI, Unternehmertum und Zusammenarbeit – knapp eingeordnet und ohne Sirenengeheul.
Sicherheitsradar
Was Aufmerksamkeit verdient
| Stufe | Incident | Datum | Quelle |
|---|---|---|---|
| kritisch | PHP PostgreSQL-Erweiterung (ext-pgsql)Vier Komfortfunktionen von PHPs PostgreSQL-Erweiterung konnten fremde Werte falsch in eine SQL-Anweisung einsetzen. Angreifbar sind nur Anwendungen, die solche Werte an diese Funktionen übergeben. Betreiber sollten PHP aktualisieren und auf Abfragen umstellen, bei denen SQL-Code und Werte getrennt übertragen werden. | 10.09. | CVE-2026-17543 |
| kritisch | FFmpegEin übergroßes Paket im Live-Streamingprotokoll RIST kann einen FFmpeg-Prozess zum Absturz bringen und laut Canonical möglicherweise Code mit dessen Rechten ausführen. Kritisch ist das nur, wenn ein Dienst fremde Streams über FFmpegs asynchronen RIST-Eingang async:rist:// verarbeitet. | 09.09. | CVE-2026-75143 |
| kritisch | ImageMagickEin präpariertes SVG kann beim Erzeugen eines Vorschaubilds MVG-Zeichenbefehle in ImageMagick einschleusen. Kritisch wird das bei öffentlich erreichbaren Upload- oder URL-Pipelines. | 08.09. | CVE-2026-56379 |
| kritisch | strongSwanMehrere Fehler in der IPsec-Suite ermöglichen Abstürze, Autorisierungsumgehungen und unter engen Voraussetzungen Codeausführung. | 07.09. | CVE-2026-78123, CVE-2026-78124, CVE-2026-78126, CVE-2026-78127, CVE-2026-78129 bis CVE-2026-78135 |
| kritisch | MiniUPnPdEine präparierte Netzwerkanfrage kann den UPnP-Dienst ohne Anmeldung abstürzen lassen oder Speicherinhalte offenlegen. | 07.09. | CVE-2026-5720 |
| relevant | Linux-Kernel / NetfilterFehlende Prüfungen eines Ethernet-Headers können auf betroffenen Ubuntu-Kerneln zu Abstürzen oder zur Preisgabe von Kernel-Speicher führen; der Angriffsvektor ist widersprüchlich bewertet. | 07.09. | CVE-2026-53131 |
| kritisch | jbig2decEin Ganzzahlüberlauf im JBIG2-Decoder kann über hochgeladene, speziell aufgebaute Bilddaten einen Verarbeitungsprozess abstürzen lassen. | 07.09. | CVE-2026-38076 |
| relevant | Ubuntu Linux-KernelBestimmte AWS- und GCP-Kernel unter Ubuntu 18.04/20.04 erhalten Korrekturen für OCFS2- und SCTP-Fehler; nach dem Update ist ein Neustart nötig. | 04.09. | 5 CVEs |
| kritisch | OpenSSHEin Speicherfehler im SSH-Client kann bei zwei gleichzeitigen Remote-Forwardings zu Absturz oder Codeausführung führen – kein pauschaler Angriff auf den SSH-Server. | 03.09. | CVE-2026-73282 |
| kritisch | FFmpegMehrere Parserfehler können beim Öffnen präparierter Medien einen Absturz oder die Ausführung fremden Codes als angemeldeter Nutzer auslösen. | 03.09. | CVE-2026-64830 u. a. |
| kritisch | APR-utilAnwendungen mit dem Redis- oder memcached-Client von APR-util können bei manipulierten Netzwerkdaten abstürzen oder fremden Code ausführen. | 03.09. | CVE-2026-34501 / CVE-2026-34502 |
| kritisch | libssh2Ein kontrollierter SSH- oder SFTP-Server kann präparierte Antworten senden und damit libssh2-Clients abstürzen lassen oder möglicherweise Code ausführen. | 03.09. | CVE-2026-66032 / CVE-2026-66035 |
| relevant | GnuPGGnuPG kann bei bestimmten CMS-Nachrichten zu kurze Authentifizierungsmerkmale akzeptieren; manipulierte verschlüsselte Nachrichten könnten dadurch als intakt erscheinen. | 03.09. | CVE-2026-57062 |
| relevant | Apache TikaKann ein Angreifer Dateien in einem später analysierten Verzeichnis ablegen, kann Tikas ISA-Tab-Parser weitere lokal lesbare Dateien in die Ausgabe ziehen. | 03.09. | CVE-2026-66755 |
| kritisch | libeventEin Fehler bei leeren Ausgabepuffern kann in Anwendungen mit libevent zu einem Absturz oder zur Ausführung fremden Codes führen. | 01.09. | CVE-2026-63381 |
News
Kurz eingeordnet
- OpenAI stellt den Agenten-Maschinenraum als API bereit
Die neue Agents API orchestriert Sitzungen, Kontext und Werkzeuge für länger arbeitende KI-Agenten; eine gehostete Ausführungsumgebung ist optional. Das spart eigene Orchestrierungsinfrastruktur – und verschiebt eine wichtige Systemgrenze.
- openai-node 7.13.0: Der initiale Servicekonto-Schlüssel kann befristet werden
OpenAIs offizielle TypeScript-Bibliothek kann beim Anlegen eines Projekt-Servicekontos nun die Laufzeit des dabei erzeugten ersten API-Schlüssels festlegen. Eine Rotation übernimmt sie nicht.
- GPT-Image 2.5: zwei API-Modelle und doppelte Tokenpreise
OpenAI führt mit GPT-Image 2.5 Flare und Sunburst zwei Modelle zur Bilderzeugung und -bearbeitung ein. Kürzere Antwortzeiten treffen auf höhere Preise je Abrechnungseinheit für Bilddaten.
- Chrome 153: Browser-Schaltflächen für Kamera- und Mikrofonzugriff, gekoppelte Iteratoren und ein XML-Parser in Rust
Chrome 153 bringt browserkontrollierte HTML-Elemente für Kamera und Mikrofon, neue JavaScript-Methoden zum parallelen Durchlaufen von Daten und einen in Rust geschriebenen XML-Parser.
- Docker Desktop 4.90 glättet Dateifreigaben und erweitert Docker Offload
Docker Desktop 4.90 behebt Dateifreigabe-Fehler, die Git und den Paketmanager pnpm stören konnten, und ergänzt die Steuerung eines Kubernetes-Cloudclusters über Docker Offload.
- Sora 2: Die Videos API endet am 24. September – ohne Ersatzpfad
OpenAI schaltet die Videos API und alle Sora-2-Modellvarianten am 24. September 2026 ab. Einen empfohlenen Ersatz nennt die Deprecation-Tabelle nicht.
Das James-Webb-Weltraumteleskop hat 27 kleine Himmelskörper im äußeren Sonnensystem entdeckt. Bei 13 davon liefern Farbmessungen mit den Weltraumteleskopen Hubble und Webb Hinweise auf ihre Entstehungsregionen.
Gegenprobe
Machen KI-Coding-Tools erfahrene Entwickler automatisch schneller?
Gegenproben →Ein Bild reicht
Weiße Gase oben, braune Asche unten: Anak Krakatau aus dem Orbit
Sentinel-3 zeigt über Anak Krakatau zwei getrennte Teile derselben Eruptionswolke: hochgestiegene Gase in Weiß, tiefer treibende Asche und Trümmer in Braun.
Bildstücke →Gescheitert, aber nützlich
Spectrum: Was zwischen verlorenem Erstflug und erfolgreichem zweitem Flug geändert wurde
Isar Aerospaces erste Spectrum-Rakete ging nach rund 30 Sekunden verloren. Die Untersuchung führte zu konkreten Änderungen; der zweite Flug erreichte am 5. September 2026 den Orbit.
Erkenntnisse →KI
Wenn KI-Code scheitert: Erst die Aufgabenbeschreibung präzisieren
Eine aktuelle Studie legt nahe: Bei fehlgeschlagenem KI-Code kann die präzisere Formulierung vorhandener Anforderungen mehr bringen als der nächste blinde Reparaturversuch.
KI-Archiv →Did You Know?
Das Wort „Roboter“ meinte zuerst keinen Blechmann
Karel Čapeks Drama R.U.R. brachte 1920 das Wort „Roboter“ in Umlauf. Die Bezeichnung roboti schlug nach Čapeks eigenem Bericht sein Bruder Josef vor – und die Figuren waren künstliche organische Arbeiter, keine Metallmaschinen.
Alle Fundstücke →Aus der Entwicklung
Wochenupdate: Dieselbe Navigation für Desktop und Mobil
Ein neues TrunkJS-Paket verschiebt dasselbe HTML-Element zwischen zwei Layoutpositionen und setzt es zuverlässig zurück.
Nur öffentliche Repositories, nur relevante Änderungen.