01 / Informatik
PHP-Lücken im Detail: Heap-Use-after-Free in session.upload_progress.
Stunden vor dem angekündigten kritischen PHP-Release (heute 14 Uhr UTC) sind die technischen Details zu den beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 öffentlich: ein Heap-Use-after-Free im session.upload_progress-Handler, mit Standardkonfiguration über einen einzelnen Multipart-POST auslösbar. Der veröffentlichte Bericht beschreibt die komplette Kette bis zum Aufruf von zend_call_function - verifiziert gegen php-src 8.4.4 und 8.2.34. Das sind genau die beiden Lücken aus der gestrigen Ankündigung (siehe Dienstags-Ausgabe).
Spätestens heute 16 Uhr unserer Zeit patchen - die Exploit-Details liegen bereits auf dem Tisch.
Analyse lesen ↗jackalsyn.com · Analyse vom 21.10.
02 / Informatik
The Future of CSS: Josh Comeaus Top 10 für Interop 2027.
Interop, das Gemeinschaftsprojekt von Google, Apple, Microsoft, Mozilla, Igalia und Bocoup, plant gerade die Ausgabe 2027 - und Mozilla hat ein Ranking-System gebaut, mit dem Entwickler ihre meistgewünschten Features hochvoten können. Josh Comeau hat seine zehn Favoriten verbloggt, angeführt von CSS-Funktionen, inklusive Tipps, was sich schon heute nutzen lässt. Sein Punkt: Was in Interop landet, erreicht oft binnen eines Jahres fast 100 Prozent Browser-Support - Subgrid ist das Paradebeispiel.
Wer CSS schreibt, sollte abstimmen - die Wunschliste von heute ist der Browser-Standard von morgen.
Wunschliste lesen ↗joshwcomeau.com · Artikel vom 20.10., HN-Diskussion vom 21.10.
03 / KI
Meta Muse: Geteilte KI-Chats waren über auffindbare Links öffentlich.
Muse, Metas neuer KI-Agent - laut Zuckerberg 'from the ground up for privacy and security' gebaut - hat geteilte Unterhaltungen über leicht auffindbare URLs exponiert. Forschende der Firma Claroc konnten 6.800 Share-Links enumerieren und fanden darunter persönliche und geschäftliche Informationen, die eindeutig nicht öffentlich sein sollten. Nach einer Anfrage von Ars Technica hat Meta das Teilen-Feature vorerst abgeschaltet.
Share-Links sind öffentliche URLs - wer KI-Chats teilt, sollte davon ausgehen, dass sie jeder lesen kann, egal welcher Anbieter dransteht.
Artikel lesen ↗arstechnica.com · Artikel vom 20.10., HN-Diskussion vom 21.10.
04 / Wildcard
Feds vermuten: Ransomware-Verhandler betrieb selbst eine Erpressungsseite.
KrebsOnSecurity berichtet: US-Ermittler haben Führungskräfte zweier Ransomware-Verhandlungsfirmen im Visier, die ungewöhnlich enge Kontakte zur Erpressergruppe ShinyHunters pflegten - eine soll der Gruppe sogar beim Betrieb einer Erpressungs-Website geholfen haben. Hintergrund: ShinyHunters hat zuletzt die FBI-Recruiting-Seite fbijobs.gov gehackt und soll allein dieses Jahr über 70 Millionen Dollar erpresst haben; der mutmaßliche Kopf 'Rey' sitzt in Jordanien und kooperiert laut Reuters mit dem FBI.
Der Interessenkonflikt des Jahres: Wer einen Ransomware-Verhandler anruft, spricht möglicherweise mit beiden Seiten gleichzeitig.
Recherche lesen ↗krebsonsecurity.com · Artikel vom 19.10., HN-Diskussion vom 21.10.
Laufende Ausgabe für Mittwoch, 21. Oktober 2026 (Berliner Zeit), Stand Morgen. Quellen: jackalsyn.com, joshwcomeau.com, arstechnica.com, krebsonsecurity.com.