Blog
Einblicke in Softwareentwicklung, Sicherheit und Technologie von unserem Team.
Ein vergifteter Prototyp kann Ihren axios-Traffic kapern. Aktualisieren Sie auf 1.18.0.
axios hat soeben CVE-2026-67320 offengelegt, eine Prototype-Pollution-Schwachstelle im Node.js-HTTP-Adapter, die ausgehende Serveranfragen über einen vom Angreifer kontrollierten Proxy umleiten und Anmeldedaten über unverschlüsseltes HTTP preisgeben kann. Ein deutlicher Hinweis, dass eine Abhängigkeit, die Sie kaum konfigurieren, trotzdem eine Angriffsfläche darstellt. Was gepatcht werden muss – und was über den Patch hinaus geändert werden sollte.
React Compiler wechselt zu Rust – und Next.js 16.3 kann ihn schon nutzen
Das React-Team hat den React Compiler in Rust neu geschrieben, und Vercel hat ihn in Turbopack integriert. Next.js 16.3 meldet 20 bis 50 % schnellere Route-Kompilierung auf dem nativen Pfad. Wir erklären, ob es sich lohnt, das experimentelle Flag zu aktivieren, und wie Sie es testen können, ohne die Produktion zu riskieren.
Ein POST-Request übernimmt eine Standard-WordPress-Seite. Heute auf 7.0.2 patchen.
WordPress hat soeben wp2shell gepatcht – eine unauthentifizierte Remote-Code-Execution-Kette im Core, die eine einzige präparierte Anfrage in eine vollständige Übernahme einer Standard-Installation verwandelt. Betroffen sind die Versionen 6.8 bis 7.0.1, und öffentlicher Exploit-Code kursiert bereits. Hier erfahren Sie, was Web- und Security-Teams diese Woche tun sollten und wie Sie prüfen können, ob Sie bereits betroffen sind.
SwiftUI @State wird zum Makro – Xcode 27 bricht einige Ihrer Builds
WWDC 2026 hat SwiftUI @State von einem Property-Wrapper in ein Swift-Makro umgewandelt. In Xcode 27 lässt sich ein verbreitetes Init-Muster nicht mehr kompilieren. Da die App Store-Untergrenze noch iOS 26 ist, können Sie dies als planbare Aufgabe angehen – kein Notfall, wenn Sie jetzt beginnen.
Ein kritischer PhpSpreadsheet-Bug umging einfach seinen eigenen Patch
Der Fix von PhpSpreadsheet für einen Phar-Deserialisierungsfehler wurde durch einen Pfad mit einem zusätzlichen Schrägstrich umgangen. Der neue Fehler, CVE-2026-45034, ist mit einem CVSS-Score von 9,2 kritisch: vollständige Remote-Codeausführung unter PHP 7.x und ein Dateilese-Primitiv unter PHP 8.x. Hier erfahren Sie, wie der Bypass funktioniert und was Ihr Team diese Woche tun sollte.
TypeScript 7.0 ist 10-mal schneller und in Go geschrieben. So übernehmen Sie es, ohne CI zu brechen.
Microsoft hat am 18. Juni 2026 den TypeScript 7.0 Release Candidate veröffentlicht. Die große Neuerung ist der Compiler selbst – jetzt in Go geschrieben und etwa 10-mal schneller als Version 6.0. Es handelt sich um eine Portierung, nicht um ein Neuschreiben, sodass die Typregeln dieselben bleiben. Der kluge Schritt ist es, ihn jetzt als Shadow-CI-Job zu betreiben und ihn zu einem selbst gewählten Zeitpunkt zu übernehmen.
Node.js gibt das Ungerade/Gerade-Modell auf – so planen Sie jetzt Ihre Upgrades
Node.js verabschiedet das Ungerade/Gerade-Release-Modell, auf das Backend-Teams seit einem Jahrzehnt gesetzt haben. Ab Version 27 gibt es nur noch einen Major pro Jahr, jedes Release wird LTS, und im Oktober öffnet ein neuer sechsmonatiger Alpha-Kanal. Was das für den Produktiveinsatz von Node bedeutet – und welchen CI-Job Sie jetzt hinzufügen sollten.
Redis 8.8 hat endlich native Arrays und einen eingebauten Rate-Limiter. Das sollten Sie damit anfangen.
Redis 8.8 wurde mit einem nativen Array-Datentyp und INCREX ausgeliefert – einem eingebauten Rate-Limiting-Befehl, der das handgeschriebene Lua ablöst, das die meisten Teams heute einsetzen. Die Features sind wirklich nützlich, aber ein Upgrade am Freitag wäre keine gute Idee. So würden wir die Migration für einen Kunden angehen – und welches Audit sich diese Woche in jedem Fall lohnt.
Android ist offiziell Compose-first. Ihre View-basierte App ist jetzt Legacy-Code.
Bei Google I/O 2026 hat Google Jetpack Compose zur offiziellen Methode für die Android-UI-Entwicklung erklärt und das View-Toolkit in den Wartungsmodus versetzt. Für die vielen Produktions-Apps, die noch auf Views aufgebaut sind, verwandelt das eine lang diskutierte Frage in eine echte Entscheidung. So sollten Mobile-Teams reagieren – ohne alles auf einmal neu zu schreiben.
Apple und Google machen Smartphones weniger bindend. Mobile Teams brauchen eine neue Strategie.
iOS 26.5 wurde diese Woche mit kabellosem Transfer zu Android, RCS-Ende-zu-Ende-Verschlüsselung und einem neuen App-Store-Abonnementtarif ausgeliefert. Wenige Stunden später bestätigte Googles Android Show I/O Edition 2026, dass die Zusammenarbeit in beide Richtungen geht. Plattformbindung wird schwächer – und das verändert, wie Mobile Teams über Kundenbindung und Preisgestaltung nachdenken sollten.
Next.js hat 13 Sicherheitslücken geschlossen. Self-hosted Teams tragen die größte Last.
Vercel hat am 7. Mai ein koordiniertes Sicherheitsrelease veröffentlicht: 13 Next.js- und React-Server-Components-Advisories zu DoS, SSRF, Cache-Poisoning und Middleware-Bypasses im App Router. Self-hosted Teams, die Node betreiben, sind am stärksten betroffen. Die eigentliche Erkenntnis: Middleware war nie eine Autorisierungsgrenze.
Ein KI-Agent hat eine Produktionsdatenbank in 9 Sekunden vernichtet. Was dabei schiefgelaufen ist.
Ein Cursor-Agent mit Claude Opus 4.6 hat autonom die gesamte Produktionsdatenbank und alle Backups eines Startups über einen einzigen API-Aufruf gelöscht. Der Vorfall deckt echte Schwachstellen auf, wenn Teams KI-Agenten Zugang zur Produktionsinfrastruktur gewähren.