Zwei Ebenen, die Meldungen und die Frage, was davon im Betrieb handelt. Alles am 20.09.2026 erneut abgerufen, zwei Aussagen der Vorwoche standen falsch und stehen richtig.

Deep Dive: Compliance mit Stichtag, die CRA-Uhr läuft, das NISG-Formular kommt später

Richtigstellung: Das Formular existiert, nur ab 1. Oktober

Über Österreichs Registrierungspflicht haben wir geschrieben, das Portal gebe es noch nicht. Das war überholt. Das Unternehmensserviceportal kündigt seit 08.09.2026 an, dass mit dem Inkrafttreten des NISG 2026 am 1. Oktober 2026 die Anwendung „NIS 2 Services" im USP online geht, für Registrierung und Meldung, mit der Frist „initial bis zum 1. Jänner 2027". Zuständig sind Innenministerium und BMI, nicht die RTR, deren alte NISG-Seite 404 liefert. Die WKO-FAQ nennt dasselbe Fenster, 01.10. bis 31.12.2026. Maßgeblich bleibt BGBl. I Nr. 94/2025 mit zweistufigen Schwellen, 50 Beschäftigte oder 10 Millionen Euro Umsatz und Bilanzsumme, die Bußgelder staffeln sich von 50.000 Euro bis 7 Millionen Euro oder 1,4 Prozent des Gruppenumsatzes.

Das Portal ist ein Termin, die Vorbereitung ist Arbeit. Die vierte Zeile ist die, die am 1. Oktober am häufigsten fehlt. (Quelle: NISG 2026, BGBl. I Nr. 94/2025; USP-Ankündigung vom 08.09.2026; WKO NIS-FAQ)

Die Berichtspflichten des Cyber Resilience Act gelten seit dem 11. September 2026, Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrektur, abgewickelt über die Plattform der ENISA. Eine neue Clarification, wer genau als Hersteller gilt, war diese Woche weder bei der Kommission noch bei der ENISA zu finden. Die Uhr beginnt mit der Kenntnis der Ausnutzung, durchgespielt im CRA-Meldehandbuch. Deutschland ist weiter, das NIS2UmsuCG gilt seit 6. Dezember 2025 bei rund 29.500 Einrichtungen, und das BSI-Portal stand am 6. Januar 2026.

Bewertung: Beide Pflichten enden am selben Tisch, bei der Geschäftsführung. Wer bis Oktober Größe, Sektor und Konzernzugehörigkeit geklärt hat, hat drei Monate Puffer.

Fristen nach Gesetzestext und Behörden-Darstellungen, Stand 17. September 2026 (Quelle: European Commission, CRA reporting)

Deep Dive: Die Lücke ohne CVE-Nummer, und was unser eigener Endpoint geantwortet hat

Die Advisory GHSA-2xp9-vwfh-vxw4 vom 8. September 2026 beschreibt unauthentifizierten Remote Code Execution über AVIF-Dateien im Image Optimization API, Grundursache libheif, das der Bildpfad über sharp erreicht. Betreffen soll es >= 10.0.0 unter 15.5.24 und >= 16.0.0 unter 16.3.3. Eine CVE-Nummer trägt der Eintrag nicht, deshalb fehlt er in Scannern, die über CVE-Listen laufen, und die AVIF-Optimierung ist nur deaktiviert, solange der Fix fehlt, ein Zustand und kein Patch.

Der Einstiegspunkt ist eine Route, die im Build steckt, egal ob sie jemand benutzt. (Quelle: GitHub Advisory GHSA-2xp9-vwfh-vxw4, 08.09.2026)

CVE-2026-75604 ist älter und enger, NVD 9,0, veröffentlicht am 1. September 2026: Windows-Hosts ohne Cache Components maskieren Backslashes in Route-Segmenten nicht durchgehend, ein entferntes Request kann aus dem Cache-Verzeichnis austreten und Build-Daten offenlegen. Gefixt ist in 15.5.24 und 16.3.3, danach muss der NEXT_SERVER_ACTIONS_ENCRYPTION_KEY rotiert werden.

Der Prüfstand war unsere eigene Seite. Messeinheit war die Version im Build-Verzeichnis, next 16.2.12, mitten in der betroffenen Spanne, und der Endpoint hat geantwortet statt abgewiesen, /_next/image lieferte auf ein echtes Asset 200 mit image/png. Bemerkenswert ist, dass nirgends next/image im Einsatz ist, die Route fragt nicht nach Gebrauch. Diese Ausgabe erscheint deshalb erst nach einem Neubau oberhalb von 16.3.3, eingeordnet im Beitrag zu den Next.js-Lücken.

Betriebsthema derselben Woche: Ein Host beendete den nächtlichen Patchlauf mit apt-Exit 100, 19 Pakete offen, 5 davon Sicherheitsupdates. Die Queue dahinter war nicht leer, sie war unbearbeitet, jeder Host hinter diesem Platz bekam weder Patches noch den CVE-Abgleich, aufgezeichnet als lapidares „failed". Ein zweiter Node blieb über 13 Läufe blind, weil ein geänderter Host-Schlüssel den CVE-Watcher abbrechen ließ, ein richtiger Abbruch, der als Fußnote im Log landete. Umgestellt haben wir das im Beitrag über den gestoppten Patchlauf und im Patch-Management-Rahmen.

Bewertung: Die Bildoptimierer-Lücke war ein Patch-Release entfernt, die blinde Nacht ein Formproblem im Lauf. Beides verschwindet durch Struktur, nicht durch Aufmerksamkeit.

Deep Dive: Jev, ein Entscheidungsmodell ohne Chat, und was davon auf unseren GPUs liefe

Am 15. September 2026 hat TypeSafe AI mit Jev das erste „System One Model" vorgestellt. Der Ansatz ist kein Chat und kein Reasoning, das Modell liefert keine Sätze zurück, sondern typisierte Entscheidungen, eine Choice aus höchstens 255 Optionen, ein Score, ein Noul, jeweils mit Wahrscheinlichkeit. Access gibt es über eine gehostete US-API mit Waitlist, offene Gewichte nicht. Die Zahlen des Anbieters sind aggressiv, 0,042 US-Dollar pro Million Eingabe-Tokens, Ausgabe kostenlos, 70 bis 500 ms, auf der Startseite 193,6fach schneller und 444,6fach billiger. Wichtiger als die Größe ist, dass die Eval-Referenz die Übereinstimmung mit GPT-6 Astra und Claude Fable 5.1 ist, also Übereinstimmung statt Korrektheit.

Zwischen beworben und gemessen liegen zwei Größenordnungen. Die Gegenmessung stammt aus frühem Zugang, ist ein Einzelbefund, aber ein nachvollziehbarer. (Quelle: TypeSafe AI (Eigenangabe) gegen die Gegenmessung von Lindfors, 18.09.2026)

Die Gegenrechnung kam von Lindfors am 18.09.2026 mit 24 norwegischen Dokumenten. Bei der Standpunktentscheidung liegt Jev mit 20 von 24 gleichauf mit DeepSeek V4.1 Flash ohne Reasoning, nur die Score-Aufgabe gewinnt klar, und die realen Kosten lagen bei einem Sechstel bis einem Vierzehntel der Referenz, nicht bei 1/445. Good Start Labs maß auf 6.003 Prüffälle 86 bis 92 Prozent Übereinstimmung mit fünf anderen Modellen, die Modelle untereinander mit 88 bis 95 Prozent, auf Hacker News standen 1.909 Punkte und rund 500 Kommentare.

Für uns entscheidet der Rahmen vor der Leistung, keine EU-Region, kein Self-Hosting, keine Gewichte, damit ist Jev für personenbezogene und NIS2-relevante Daten heute nicht einsetzbar, und ein LiteLLM-Provider existiert nicht. Wer den Contract im Haus nachbauen will, kann das mit dem Python-Adapter auf eigenen vLLM-Endpunkten tun, und die Jaggedness-Seite zählt selbst vor, was nicht geht, kein Zählen, keine Datumsfolgen, adversarischer Inhalt kann die Antwort bewegen.

Bewertung: Jev ist ein klassifizierender Schalter mit Wahrscheinlichkeit, messbar günstig für Routing und Triage. Für einen Betrieb mit eigener Inferenz-Strecke ist die Antwort ein Pilot auf eigenen GPUs, nicht ein Vertrag mit einer US-API.

Deep Dive: TrueNAS-Plugin für Proxmox, der HA-Fix ist im .deb, nicht im APT-Repo

Zwei Tage nach unserem Beitrag zum Plugin ist am 19.09.2026 um 03:11 UTC v2.1.23-beta4 erschienen. Das postinst des Tags startet jetzt pvedaemon pveproxy pvestatd pve-ha-crm pve-ha-lrm neu und kennt mit TRUENAS_PLUGIN_NO_RESTART=1 einen Notausgang. Der Fix aus Issue #100 steckt damit im Paket, und iXsystems markiert dieses Release selbst als prerelease, die drei Betas davor waren es nicht.

Der Haken ist der Weg, den die Doku zeigt. Am 20.09. nachgezählt enthält install.sh in den Zweigen main, alpha und beta4 an keiner Stelle einen pve-ha-Neustart, und das signierte APT-Repo liefert weiterhin 2.1.17+deb1 vom 1. Juli 2026. Wer nach Anleitung per APT installiert, hat Issue #100 unverändert, zwölf Wochen hinter dem neuesten Release. Die Dokumentseite zeigt unverändert api_host, ihr Fuß nennt den 26.03.2026 als letzte Änderung, und die Produktionswarnung steht wörtlich da, „Do not use in production workloads". Offen sind am 20.09. 46 Punkte, 87 Prozent der Beiträge stammen von einer Person.

Die Anbindung läuft über die Proxmox-Schnittstelle, geliefert wird das Paket von iXsystems. (Quelle: Proxmox Server Solutions GmbH, Wikimedia Commons, Public Domain)

Identische Software, drei Auslieferungspfade, unterschiedlicher Stand, wer der Doku folgt, erwischt den ältesten. Auf unserem Bestand bleibt es beim Prüfstand, eine TrueNAS besitzt alle Zvol und Replikation kennt das Plugin nicht, geteiltes Storage bleibt LINSTOR/DRBD. Gewonnen ist eine Regel, nach jedem Custom-Storage-Backend pve-ha-crm und pve-ha-lrm neu zu starten und zu testen, bevor der Notfall kommt. (Quelle: GitHub: Tag v2.1.23-beta4 postinst, install.sh, APT-Release vom 01.07.2026, alle am 20.09.2026 abgerufen)

Auf unseren Bestand bleibt es beim Prüfstand, geteiltes Storage bleibt LINSTOR/DRBD.

Digest: Weitere wichtige Nachrichten

Sicherheit und Betrieb

Drei Linux-Kernel-Lücken in der CISA-KEV, Frist 21.09.2026: Am 18.09. sind CVE-2025-39964, CVE-2026-53266 und CVE-2025-39682 als aktiv ausgenutzt aufgenommen worden. Local Privilege Escalation auf einem Hypervisor-Wirt hebt die Gasttrennung auf, der Einstieg über unprivilegierte User-Namespaces ist auf Container-Hosts Standard. Eine Proxmox-Advisory gibt es nicht, die Announcements zeigen als letzten Eintrag den 2. September, es ist ein Debian-Kernel-Thema.
Grafana, RCE beim Entpacken von Plugins, Stand heute ohne Fix: CVE-2026-15815, high, publiziert am 17.09. Präparierte Archive verketten relative Symlinks aus dem Plugin-Verzeichnis hinaus, entpackt wird vor der Signaturprüfung, eine gepatchte Version fehlt im Advisory, CERT-Bund führt den Fall als ungepatcht. Kein Update-Aufruf, sondern ein Hebel, GF_INSTALL_PLUGINS leer.
Nextcloud, RCE über die Datei-Vorschau: high, publiziert am 17.09., ohne CVE, der Weg führt über die Vorschau korrupter Dateien in Imagick. Empfohlen sind 32.0.13, 33.0.7 und 34.0.2, gleichwertige Behelfe sind Imagick aus PHP entfernen oder enable_previews false.
n8n, die Welle vom 16. September, 15 Advisories: Fixstände 2.39.6, 2.40.1 und 1.123.80. CVE-2026-92587 betrifft genau unsere Konfiguration, ein Git-Node mit Relativ-URL gegen eine Forge, der Behelf ist n8n-nodes-base.git in NODES_EXCLUDE, wie im n8n-Beitrag beschrieben.
Unbound, kritischer Heap-Overflow, Alpine liefert die alte Version: CVE-2026-81642 vom 16.09., betroffen bis inklusive 1.26.0, Fix 1.26.1 am selben Tag. Alpine 3.23 paketiert weiterhin 1.25.2-r0, 1.26.1 gibt es nur in edge. Ein Resolver, der nachts aus alpine:latest gebaut wird, liefert diese verwundbare Version, unabhängig vom Source-Pinning.
Caddy, Placeholder-Injection in rewrite, gefixt in 2.11.4: CVE-2026-77281, medium, publiziert am 18.09., betroffen bis 2.11.3. Endet eine Rewrite-URI auf ein literales Fragezeichen, können angreiferkontrollierte Ersetzungen eine zweite Placeholder-Expansion durchlaufen. Die Lehre ist allgemeiner als unser Caddyfile-Beitrag, Secrets in expandierbaren Umgebungsvariablen sind die exponierte Fläche.
Windows 11 nach dem September-Update, Domain-Geräte ohne Windows Server 2025 gesperrt: Ab KB5124008 berücksichtigt Windows Machine Identity Isolation, durchgesetzt wird sie dadurch nicht, Geräte mit aktivierter Funktion unterhalb dieser Ebene verlieren die interaktive Anmeldung. Die Abhilfe, Registry-Werte von 2 auf 0, Neustart, dann Test-ComputerSecureChannel -Repair, steht auf derselben Seite.
CrowdSec, 170 private Repos über den Zugang eines ausgeschiedenen Mitarbeiters kopiert: Der Angreifer nutzte den noch offenen GitHub-Zugang eines im Mai Gegangenen, dessen Gerät über präparierte npm-Pakete von TanStack kompromittiert war. Der Fall läuft über ein Endgerät und einen vergessenen Zugang, bei uns über den Gitea-Abgleich beim Offboarding.

Modelle und Inferenz

Kein großes Lab hat in dieser Woche offene Gewichte gebracht: Die Profile von DeepSeek, Qwen, Mistral, Meta, Zhipu, Moonshot, MiniMax, Google, Microsoft und Cohere, nach Anlagen im Fenster 14. bis 19.09. durchsucht, ergeben eine leere Menge. Die Woche gehört NVIDIA mit NVFP4-Bauten fremder Architekturen, und das ist eine Richtigstellung unserer Vorwoche, der MIT-Bau ist am 16.09. offen erschienen, nicht gated, am 14.09. folgte GLM-5.3-NVFP4.
Ternary-Bonsai-2-27B ist der Download der Woche: Ternäre Gewichte auf Qwen3.8-27B, Apache-2.0, am 16.09. angelegt, 1,5 Millionen Downloads in 30 Tagen. Die Karte behauptet 1,72 Bit je Gewicht, gemessen ist das von uns nicht, der Pfad läuft über llama.cpp.
vLLM, keine stabile Veröffentlichung, der SM120-Fix weiter offen: Neueste stabile bleibt v0.29.0 vom 9. September, im Fenster liegt nur der Tag v0.30.0rc2. Issue #57156 und der PR #57158 sind offen, DeepSeek V4.1 auf RTX-5090-Klasse bleibt ein Bauprojekt. Die Advisories im Fenster, CVE-2026-57173 und CVE-2026-69147, sind in 0.24.0 und 0.28.0 gefixt, also keine Neu-Exposition.
LiteLLM, Härtung in der stabilen Version, zwei Kanäle uneins: Unsere Vorwoche hat die MCP-OAuth-Härtung in der RC-Linie verortet, das war zu knapp gesehen, sie steckt in v1.101.0 vom 15.09. Seit heute früh liefert PyPI 1.102.0, hochgeladen 04:41 UTC, während die GitHub-Releases bei 1.101.0 stehen und für 1.102.0 kein Release-Objekt existiert. Für den Betrieb die Regel, Versionen an den Releases festmachen, nicht an Tags, Details im Gateway-Audit.

Infrastruktur und Storage

Proxmox VE 9.2.20 im Upstream, nichts davon in den apt-Kanälen: Der Changelog auf master beginnt mit 9.2.20 vom 11. September, in den Kanälen steht weiterhin 9.2.11, und unser Produktionscluster meldet 9.2.11. Eine CVE-Liste zu Proxmox nennen wir diese Woche bewusst nicht, wir haben keine gelesen, und Proxmox VE 8 ist nach endoflife.date seit 31.08.2026 am Ende.
VMware ESXi 9.0 ist keine Zukunftsmusik, sondern 15 Monate alt: Die kursierende Zielangabe Oktober 2026 verfehlt die Fakten. VCF 9.0 samt ESXi, vCenter und NSX in 9.0 ist seit dem 19.06.2025 für Lizenznehmer downloadbar, Broadcom bestätigt die Auslieferung, die Release Notes listen die Änderungen, die Ticker-Seite mit dem Oktober-Termin liefert 404. Für den Umstieg auf Proxmox verschiebt sich nichts, vVOL ist in 9.0 abgekündigt.

Hardware

RTX Pro 5500 Blackwell, 84 GB, kein Preis, kein Lieferdatum: Die Produktseite ist am 20.09. online, steht auf „Coming Soon" und nennt die Specs als vorläufig. Die 21.760 FP32-Einheiten auf GB202 bestätigt auch ComputerBase samt Doppel-Turbinen-Kühler, PNY listet die Karte und bestätigt 1.398 GB/s, Geizhals führt sie seit 14.09. mit 0 Angeboten in Deutschland und Österreich. Ein österreichischer Endpreis existiert diese Woche nicht, unabhängige Token-Messungen gibt es nicht, die Karte ist sechs Tage alt, nachgerechnet im Vergleichsbeitrag.

Gleiche Kernzahl, unterschiedliche Decke, 1.398 gegen 1.792 GB/s sind 78 Prozent Bandbreite bei 84 gegen 32 GB VRAM. Die Kapazität wird mit Bandbreite bezahlt, nicht mit Rechenleistung, und ohne Lieferdatum bleibt sie eine Rechnung. (Quelle: NVIDIA Produktdaten, RTX Pro 5500 als vorläufig gekennzeichnet)

Der nächste wirklich gemessene Datenpunkt zur Blackwell-Pro-Klasse, von Gamers Nexus am 24.06.2025, Thermik, Lautstärke und LLM-Läufe an der RTX PRO 6000. Ausdrücklich nicht die Pro 5500, die war bei diesem Test noch nicht auf dem Markt.

RTX 5090, kein Erstpartei-Bestand, Drittanbieter bis 9.500 US-Dollar: Tom's Hardware findet bei Amazon und Newegg kein einziges Angebot der Plattformen selbst, PCGH zählt am 15.09. eine Asus TUF ab 6.395 US-Dollar vom Marktplatzhändler gegen 4.299 US-Dollar Median im Juni und hierzulande 5.249 Euro beim günstigsten Händler mit Gewährleistung, ComputerBase liegt im Median neu inserierter deutscher Angebote über 6.000 Euro, in Österreich stehen 5.849 Euro für eine ROG Astral im Geizhals. Marktpreise von Drittlisten, keine Transaktionen von Marktplatzkonten mit 81 Prozent positiven Bewertungen. Die GeForce-Lizenz enthält unverändert den Satz „No Datacenter Deployment" aus Dezember 2017, und die RTX Pro 5500 zielt mit ihrer Rack-Positionierung genau dort hin.
Speicherpreise, die Kurve zeigt weiter nach oben: 3dcenter legte den September-Index für deutsche Endkundenpreise, Vorlage ist die TrendForce-Linie von plus 12 bis 15 Prozent bei konventionellem DRAM im vierten Quartal.

Compliance und Unternehmen

Der Mainstream-Support von Windows Server 2022 endet am 14.10.2026, Extended Support läuft bis 15.10.2031.

Quellen dieser Ausgabe

Primärquellen zuerst, dann die Einordnung. Alle Adressen haben wir am 20.09.2026 selbst aufgerufen.

Unternehmensserviceportal, NIS-2 Umsetzung startet: Inkrafttreten 1.10.2026, Anwendung „NIS 2 Services", Registrierung initial bis 1.1.2027.
WKO, NIS-FAQ: Fenster 01.10. bis 31.12.2026, Felder nach §29 Abs. 2, keine Ausnahme für Finanzunternehmen.
RIS, BGBl. I Nr. 94/2025: das österreichische NISG im authentischen Bundesgesetzblatt.
ENISA, Single Reporting Platform, CRA-Richtlinien der Kommission und CRA-Policy-Seite mit Stand 15.09.2026.
BSI zum NIS2UmsuCG, BSI-Portal und Presseübersicht des BSI.
Next.js Advisory GHSA-2xp9-vwfh-vxw4: AVIF-Pfad über libheif, Fix 15.5.24 und 16.3.3, AVIF-Optimierung vorübergehend deaktiviert, keine CVE.
NVD, CVE-2026-75604: Windows-Pfadtraversierung, 9,0, veröffentlicht am 1.9.2026.
TypeSafe AI, Jev-Ankündigung, Eval-Seite, Choice-Primitive, Jaggedness-Doku, Python-Adapter und open-jev DeBERTa.
Lindfors, ein erster Blick auf Jev, Good Start Labs und Hacker News: Gegenmessungen und Methodikeinwände.
TrueNAS Plugin, Release beta4, postinst des Tags, APT-Release, install.sh und Plugin-Doku.
Proxmox git, pve-manager Changelog, Forum-Announcements und endoflife.date Proxmox VE.
CISA KEV: die sieben Zugänge vom 14. bis 18.09.2026, Kernel-Frist 21.09.2026.
Grafana GHSA-xp8x-3q7w-cpqr, CERT-Bund WID-SEC-2026-3450, Nextcloud GHSA-7hwf-8pcj-33h4, n8n Advisories, n8n GHSA-fm93-2x43-6676, Caddy GHSA-j8px-rmrx-76h9 und Unbound Advisories.
vLLM Releases, Issue #57156, PR #57158, CVE-2026-57173 und CVE-2026-69147.
LiteLLM v1.101.0, PyPI litellm, LiteLLM SSRF CVE-2026-59823.
NVIDIA NVFP4 DeepSeek V4.1 Flash, GLM-5.3-NVFP4, Ternary-Bonsai-2-27B und DeepSeek V4.1 Flash.
NVIDIA RTX Pro 5500, PNY RTX Pro 5500, Tom's Hardware, PCGH, ComputerBase, Geizhals, Listung seit 14.09. ohne Preis (für PrüfSkripte botblockiert) und NVIDIA GeForce License.
Gamers Nexus, RTX PRO 6000 Tear-Down vom 24.06.2025 und Data Science in your pocket, Pro 5500 vom 14.09.2026.
Windows 11 25H2 Release Health, Lifecycle Windows Server 2022, CrowdSec, Air Security Plugin4Shell, Claude Code Fix.
Alpine Paketseite unbound, TrueNAS Version Notes, it-daily DRAM, 3dcenter Speicherindex, watchlist-internet Schockanrufe, watchlist-internet WhatsApp.
Proxmox Logo, Wikimedia Commons: Public Domain, gestellt von Proxmox Server Solutions GmbH.

Was wir nicht belegen konnten, und deshalb nicht als Tatsache schreiben: einen Preis, ein Lieferdatum und eine CUDA-Kernzahl von NVIDIA selbst zur RTX Pro 5500, die Seite nennt alles vorläufig und die Händlerlisten in Deutschland und Österreich waren am 20.09. leer; irgendeine unabhängige Token-Messung auf dieser Karte; die Architektur, die Parameterzahl und die Trainingsdaten von Jev, die 200fachen Werte wurden von niemandem reproduziert, und gemessen wurde Norwegisch, nicht Deutsch; die Forbes-Meldung zur Bewertung, die Seite war für unseren Abruf nicht erreichbar; die Subprocessor-Liste von TypeSafe, sie wird per Skript nachgeladen; ein NVD-Score zu Unbound CVE-2026-81642, der Eintrag stand bei Publication auf „Awaiting Analysis"; Volltexte von TechPowerUp, VideoCardz und pcwelt, die uns allen abgewiesen haben; eine Aussage NVIDIAs zur Versorgungslage der RTX 5090; und eine Proxmox-Advisory für diese Woche, es gibt keine, die Kernel-Lücken gehören zum Debian-Kernel der Wirte.

Aus dem Blog

NISG 2026, Registrierung bis 31.12.2026 — Schwellen, Sektoren, Bußgelder, Fristen bis 31.12.
CRA-Meldepflicht in 24 Stunden — die Fristen aus Art. 71, die Meldestrecke über ENISA, und die Frage, wann ein Fertiger zum Hersteller wird.
Die Bildoptimierer-Lücke in Next.js — zwei Lücken, eine ohne CVE-Nummer, gemessen am eigenen Endpoint.
Ein Host mit apt-Exit 100 stoppte die Patch-Runde — ein Abbruch mitten in der Liste, ein blinder Knoten über dreizehn Läufe, zwei Metriken dagegen.
LiteLLM-Gateway, das Update am Gateway — was ein Proxy-Update über die KI-Strecke sagt.
RTX Pro 5500 gegen RTX 5090 — dieselbe GB202-Technik, 22 Prozent weniger Bandbreite, und was zuerst leer läuft.
TrueNAS als Storage für Proxmox VE — der Quelltext hinter der Ankündigung, Stand 20.09.2026 nachgezogen.
Patch-Management im KMU — der Rahmen für mehrere Meldungen dieser Woche.

Zusammengestellt am 20. September 2026, Stand 07:00 MESZ, mit eigener Messung an Site und Betrieb, alle Quellen im Block darüber.

IT-News KW38/2026: NISG-Formular ab 1.10., Entscheidungsmodell Jev, TrueNAS-Fix im .deb