Diese Woche steckt der Angriff im Werkzeug, mit dem wir alles andere patchen: In APT lässt sich ein Paket nach der Signaturprüfung austauschen. Daneben bleibt der Speicher das große Thema. Die RTX 5090 kostet nach heise rund 8.000 Euro, Microsoft liefert Windows 11 eine Speicherdiät für 8-GB-Geräte, und die Prognosen für Entspannung reichen von 2028 bis 2030. Bei Home Assistant fällt mit 2026.11 das separate HACS weg. Die Kennzeichnung bedeutet: verifiziert (zwei unabhängige Quellen gelesen), gemeldet (eine Quelle gelesen), Herstellerangabe oder abgeleitet (unsere Lesart).

Eigene Messungen vom 8. November sind als solche gekennzeichnet. Sie stehen im Deep Dive zu APT (Abschnitt Bewertung) und im Digest bei Keycloak, Stalwart, Caddy und Docker; der jeweilige Absatz nennt Datum und, wo vorhanden, Anzahl der Hosts und Methode.

Deep Dive: APT-Lücke CVE-2026-109518 und der Paketpfad

Ubuntu und Debian haben die APT-Lücke am 4. November gemeldet und behoben. (Quelle: Simple Icons 16.36.0, Datei ubuntu.svg (CC0), Marke: Canonical)

Wie der Angriff funktioniert

Der Entdecker Max Justicz hat in APT einen Fehler beim Umgang mit HTTP-Weiterleitungen gefunden. Laut der Debian-Ankündigung DSA-6607-1 kann APT zwei verschiedene Downloads zusammenführen, wenn eine Weiterleitung beiden dieselbe Adresse gibt. Dazu kommt fehlerhaftes Dateihandling beim Fortsetzen eines Downloads. Ein Angreifer tauscht damit eine Datei aus, nachdem APT sie geprüft hat. Laut Debian führt das zu Codeausführung als root. Ubuntu betont, dass der Austausch auch dann klappt, wenn das Paket die Signaturprüfung nicht bestehen würde, und nennt als Voraussetzung einen wiederholten Download (Acquire::Retries). Der Angreifer braucht eine Position im HTTP-Pfad (Man-in-the-Middle); ein Aufruf einer Webseite reicht laut linuxnews.de nicht. Die Bewertung liegt bei CVSS 4.0 mit 7,7 (Angabe von Ubuntu). Snaps sind laut Ubuntu nicht betroffen. Nicht belegt sind die verwundbaren Upstream-Versionsbereiche und eine Ausnutzung in freier Wildbahn; dazu haben wir nichts gelesen. Status: verifiziert (Debian, Ubuntu, Upstream-Changelog, Linuxiac, linuxnews.de).

Betroffene Stände und Fix-Versionen

Upstream steht der Fix in APT 3.3.6 vom 4. November, laut Changelog öffnen die Download-Methoden ihre Zieldateien jetzt exklusiv. Die Distributionen liefern diese Pakete:

Distribution	Fixstand
Debian 13 (trixie)	apt 3.0.4
Ubuntu 26.10	3.3.3ubuntu0.1
Ubuntu 26.04 LTS	3.2.1ubuntu0.1
Ubuntu 24.04 LTS	2.8.4ubuntu0.1
Ubuntu 22.04 LTS	2.4.15ubuntu0.1

Ubuntu 20.04 und 18.04 bekommen den Fix nur über ESM (Ubuntu Pro). Nach dem Ubuntu-Blog sind Releases ab 22.04 standardmäßig betroffen, ältere nur mit einem Acquire::Retries ungleich null. Zu Debian 12 steht in der Ankündigung nichts; wer es betreibt, prüft den Security-Tracker, statt von Entwarnung auszugehen. Die Fixstände stammen aus USN-8996-1 und der DSA. Status: Herstellerangabe.

Was jetzt zu tun ist

Ubuntu empfiehlt, die Paketquellen von http:// auf https:// umzustellen, was nicht jeder Mirror kann, und das Update selbst ohne Wiederholungen zu holen: sudo apt update && sudo apt upgrade -o Acquire::Retries=0. Nur APT lässt sich mit sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)' aktualisieren. unattended-upgrades zieht den Fix laut Ubuntu binnen 24 Stunden. Den Stand zeigt apt list --installed '?source-package(^apt$)'. Abgeleitet: Ein eigener HTTP-Cache oder Reverse-Proxy vor den Paketquellen (apt-cacher, Squid) liegt im Netzpfad und gehört zuerst geprüft. Proxmox-Hosts haben eine Debian-Basis und gehören in die Prüfung; ob das Proxmox-Repository bei Ihnen per HTTPS läuft, haben wir nicht verallgemeinert.

Bewertung: Die Lücke ist ein Fehler im Transportweg, kein Fehler der Signaturprüfung selbst, und sie braucht eine Netzposition. Abgeleitet macht das sie für Netze mit eigenem Mirror oder Proxy ernster als für einen Server mit direktem HTTPS-Zugang. Wir haben bei uns gemessen (8. November 2026, dpkg-query -W apt per SSH auf vier Hosts): Die zwei Ubuntu-26.04-Hosts stehen auf 3.2.1ubuntu0.1, die zwei Debian-13-Hosts auf 3.0.4, also auf den Fixständen der Tabelle. Alpine-Hosts verwenden apk und sind nicht betroffen; für deren eigene Lücke dieser Woche siehe die Verlinkung im Digest.

Deep Dive: Speicherkrise, GPU-Preise und Windows auf 8 GB

Die RTX 5090 kostet rund 8.000 Euro

heise meldet am 2. November, dass die RTX 5080 kaum noch unter 2.000 Euro zu haben ist (Listenpreis 2.099 Euro) und in zwei Wochen um mehr als 30 Prozent stieg. Die RTX 5090 koste etwa 8.000 Euro, Mitte Oktober waren es rund 6.000 Euro. Die RTX Pro 6000 mit 96 GB beginnt bei etwa 16.500 Euro, die Pro-5000-Karte mit 48 GB erst ab 8.000 Euro. Nvidia sagt laut heise nur, die 5090 werde weiter ausgeliefert, und bestätigt keine laufende Produktion. Als Ursachen nennt heise den KI-Boom, knappen GDDR7-Speicher und die Tatsache, dass dieselben Chips als Workstation-Karte mehr Gewinn bringen. Für eine 24-GB-Version der 5080 kursiert ein Termin im Januar 2027; heise schreibt dazu, daraus könne diesmal nichts werden. Als Kontext dient eine ältere PCGH-Rechnung vom 6. Oktober: Sie schätzt die 32 GiB GDDR7 auf rund 275 Euro und einen Aufschlag ohne Kostenposten von etwa 2.900 Euro netto. Nach PCGH beruht die Rechnung auf öffentlichen Kostenschätzungen und branchenüblichen Spannen. Eine zweite Quelle für die aktuellen Preise konnten wir nicht lesen, weil die Gegenartikel hinter einer Einwilligungsabfrage oder einer Sperre lagen. Status: gemeldet.

Windows 11 auf 8-GB-PCs: Microsoft spart Speicher im System

Microsoft hat am 3. November im Windows Experience Blog Verbesserungen für 8-GB-Geräte beschrieben, ausgeliefert mit Build 26300.9818 (Version 26H2). Nach Microsoft reagieren Start, Suche, Einstellungen und Explorer bis zu 20 Prozent schneller als im Stand von Januar 2026, Multitasking bis zu 40 Prozent schneller (gemessen auf einem HP OmniBook 3 mit 8 GB). Bis zu 2 GB mehr aktive Daten bleiben im Arbeitsspeicher, statt ausgelagert zu werden, und das zugesagte Wachstum des belegten Speichers sinkt um bis zu 900 MB. Widgets laden erst beim Öffnen, inaktive Edge-Tabs schlafen nach 15 Minuten statt nach zwei Stunden, Teams startet auf 8-GB-PCs im Effizienzmodus. Wer es nutzen will, aktiviert unter Einstellungen > Windows Update den Schalter "Get the latest updates as soon as they're available" und aktualisiert Edge, Microsoft 365 und Teams mit. pureinfotech und windowspro.de bestätigen die Änderungen; Dr. Windows ist skeptisch und überschreibt den Beitrag mit "Microsoft gelingt Marketing-Stunt". Die Prozentwerte sind Laborangaben von Microsoft und nicht unabhängig geprüft. Die KB-Nummer KB5127936 nennen pureinfotech und Born, der Microsoft-Artikel nennt keine. Status: verifiziert für die Änderungen, Herstellerangabe für die Prozentwerte.

Wie lange die Knappheit dauert

heise schreibt am 5. November, dass Sam Altman seine Kritik an privat genutztem DRAM nach Widerspruch auf X relativiert hat. Zur Dauer der Knappheit nennt der Artikel mindestens das nächste Jahr; SK Hynix hält Engpässe bis 2030 für möglich, Gartner und Counterpoint sehen Entspannung frühestens 2028. Das sind Analystenangaben, die wir nur über heise gelesen haben. Eine Folge zeigt heise/c't am 6. November: Laut TrendForce enthalten 2026 drei bis vier Prozent aller Smartphones aufbereitete Speicherchips, 2027 könnten es sieben bis neun Prozent sein, vor allem bei günstigen LTE-Geräten. Bei Festplatten rechnet noted.lol mit Daten eines einzelnen Händlers (eRacks) vor: Der Preis je Terabyte stieg zwischen März und August bei der WD Red Pro um 66 Prozent und bei der IronWolf Pro um 55 Prozent. Das ist ein Meinungsstück in Dollar, kein Marktindex. Status: gemeldet.

Bewertung: Wer eigene GPU-Hosts betreibt, kauft derzeit zum ungünstigsten Zeitpunkt, und die Preise geben keinen Grund zur Eile: Ein Händlerpreis kann in zwei Wochen um ein Drittel springen und ebenso zurückkommen. Vor einem Kauf lohnt die Messung, wie viel VRAM die vorhandenen Karten wirklich belegen. Abgeleitet aus den heise-Preisen: Eine Pro 5000 mit 48 GB kostet so viel wie eine 5090 mit 32 GB, eine Pro 6000 mit 96 GB so viel wie zwei; Bandbreite und Leistung haben wir nicht verglichen. Bei Windows-Flotten mit 8-GB-Geräten ist der Update-Schalter billiger als neuer Speicher, aber die Zahlen stammen von Microsoft, ein Test an einem eigenen Gerät vor dem Rollout bleibt nötig.

Deep Dive: Home Assistant 2026.11 ersetzt HACS

Home Assistant 2026.11 vom 4. November bringt einen eingebauten Marketplace und neue Entity-Namen. (Quelle: Simple Icons 16.36.0, Datei homeassistant.svg (CC0), Marke: Home Assistant)

Marketplace statt separatem HACS

Home Assistant hat die Version 2026.11 am 4. November veröffentlicht. Laut den Release Notes installiert man Community-Integrationen, Dashboard-Karten, Themes und Vorlagen jetzt unter Einstellungen > Marketplace; eine Integration braucht dafür keinen Neustart. Eine getrennte HACS-Installation ist auf 2026.11 nicht mehr möglich, das alte HACS bekommt keine neuen Versionen. Matter Alpha beschrieb die Pläne bereits am 2. Oktober: Bestehende HACS-Installationen werden beim ersten Start automatisch übernommen, eigene Repositories, Update-Entitäten und Dashboard-Ressourcen bleiben, das alte HACS wird entfernt. Stöbern, Installieren und Aktualisieren geht ohne GitHub-Konto, nur eigene Repositories brauchen eine GitHub-Verbindung. Home Assistant testet und unterstützt die Community-Inhalte weiterhin nicht; vor Installation oder Update erscheint eine Warnung. Im GitHub-Projekt melden Nutzer bereits Probleme bei der Übernahme, etwa dass viele früher per HACS installierte Integrationen als "not loaded" erscheinen (Issue 190450) oder dass das GitHub-Ratenlimit beim Start greift (Issue 191046). Dazu haben wir nur die Titel der Issues gelesen. Status: verifiziert (Release Notes und unabhängiger Bericht, der Bericht allerdings vor dem Release), die Migrationsprobleme sind gemeldet.

Entity-Namen: eine rückwärts inkompatible Änderung

Entitäten haben jetzt einen einzelnen Namen, Home Assistant ergänzt Geräte- und Raumnamen nur, wo sie nötig sind. Das Projekt nennt die Änderung ausdrücklich nicht rückwärtskompatibel. Karten ohne eigenen Namen zeigen den Gerätenamen gefolgt vom Entity-Namen, Dashboards sehen nach dem Update teilweise anders aus. Das Attribut friendly_name ist für die Abkündigung vorgesehen; Vorlagen sollen entity_name(), device_name() und area_name() verwenden. Weitere Breaking Changes laut Release Notes: Z-Wave braucht zwave-js-server 3.11.0 oder neuer, MQTT-Entitäten ohne unique_id erzeugen keine Geräte mehr, und Uptime Kuma wird erst ab Version 2.0 unterstützt. Status: Herstellerangabe, eine Quelle gelesen. Wir haben die Änderungen nicht auf einer eigenen Instanz getestet.

Matter-Kameras, LoRaWAN und Green Power

Dazu kommen laut Release Notes Matter-1.5-Kameras mit Live-Video per WebRTC und eine Labs-Vorschau für Zwei-Wege-Audio mit Sprechtaste für Matter- und Reolink-Kameras. LoRaWAN läuft über ChirpStack und The Things Network, die Zigbee-Integration unterstützt batterielose Green-Power-Geräte wie die Schalter von Friends of Hue. Backups und Medien lassen sich auf internen oder USB-Laufwerken ablegen. Automationen und Skripte können Entitäten, Geräte, Bereiche, Etagen oder Labels aus einem Ziel ausnehmen. Die Seite nennt 38 neue Integrationen. Entfernt wird laut Release Notes die Integration Flipr, weil die Firma liquidiert wurde. Status: Herstellerangabe.

Bewertung: Für laufende Installationen sind zwei Dinge vor dem Update zu prüfen: Vorlagen und Automationen, die friendly_name lesen, und Vorlagen, die auf die HACS-Integration verweisen (Details zur Migration stehen in der Dokumentation des Projekts). Ein Backup und ein Testlauf auf einer Kopie kosten wenig. Der Marketplace verändert nichts an der Haltung zu Community-Code: Er wird bequemer installiert, aber weiterhin nicht geprüft.

Digest: Weitere wichtige Nachrichten

Kennzeichnung am Zeilenende: verifiziert (zwei Quellen gelesen), gemeldet (eine Quelle gelesen), Herstellerangabe (Zahl stammt vom Anbieter).

Sicherheit

OpenSSH "sshole", CVE-2026-123158: Passwortumgehung auf Alpine und anderen musl-Systemen Betroffen ist OpenSSH vor 10.6p2 auf musl-Systemen ohne PAM, also Alpine, OpenWrt, Buildroot und Yocto: Konten mit * im Passwortfeld akzeptieren Passwörter mit 257 bis 1.024 Zeichen. Help Net Security meldet Ausnutzung, SecurityWeek bestätigt den Fix in 10.6p2, schreibt aber, eine Ausnutzung sei bisher nicht gemeldet; die Quellen widersprechen sich also. Unseren Flottencheck mit 36 Hosts haben wir diese Woche separat veröffentlicht. | gemeldet
Keycloak 26.8.2: Elestio zählt 33 Lücken mit CVE Die Release-Seite listet unter "Security fixes" Einträge mit CVE-Nummer, darunter eine Umgehung der Signaturprüfung beim SAML-Redirect, einen Account-Takeover über einen Login-Wettlauf, Session-Übernahme per gefälschtem id_token_hint und gespeichertes XSS auf der Login-Seite; eine Gesamtzahl nennt sie nicht. Elestio spricht von 33 CVE-Einträgen in einem Patch-Release und nennt vier einzeln: CVE-2026-117691 (SAML-Redirect), CVE-2026-103112 (Login-Wettlauf), CVE-2026-107889 (XSS auf der Login-Seite) und CVE-2026-110931 (SAML-Denial-of-Service). Von unseren zwei Keycloak-Instanzen stehen am 8. November beide unter 26.8.2, das Update steht also an. | Herstellerangabe
SonicWall SonicOS: SAML-Umgehung im SSL-VPN steht in der CISA-KEV-Liste CVE-2026-19868 (CVSS 7,1) betrifft Gen7 mit SonicOS 7.3.3-7015 und älter sowie Gen8 mit 8.2.2-8015 und älter; Fixes sind 7.3.4-7013 und 8.2.3-8015, angreifbar ist nur ein aktiver SAML-Login. Für den GMS-Manager (End-of-Life) will SonicWall zwei andere Lücken nicht mehr beheben, schreibt SecurityWeek. Die KEV-Frist der CISA endet am 20. November. Den Katalog selbst haben wir nicht direkt geöffnet. | gemeldet
WordPress-Core, CVE-2026-119977 Betroffen sind WordPress 4.7 bis 7.1.3, behoben ist 7.1.4. Dass die Lücke in der CISA-KEV-Liste steht, nennt Elestio, nicht borncity. Unsere Seiten laufen auf Kirby und Next.js und sind nicht betroffen. | verifiziert
Barracuda Email Security Gateway: Auth-Bypass und Root-Befehle CVE-2026-116606 (CVSS 9,3, Firmware vor 9.4.0.030) und CVE-2026-111560 (CVSS 8,6) lassen sich zu Root verketten; die zweite betrifft laut Bericht auch Load Balancer ADC, Message Archiver und weitere Produkte der Firma. Ausnutzung ist nicht gemeldet. | gemeldet
rsync 3.5.2: Denial of Service durch schwache Checksummen CVE-2026-119741: Ein böswilliger Empfänger zwingt den Sender, unverhältnismäßig viele starke Checksummen zu rechnen; das Release begrenzt den Aufwand. Linuxiac bestätigt das, betroffene Versionsbereiche nennen beide nicht. Relevant für Backup-Skripte, die gegen fremde Empfänger laufen. | verifiziert

Hardware

AMD Instinct MI350P: 144 GB HBM3E in einer PCIe-Karte mit 600 Watt Der First Look von StorageReview nennt 4 TB/s Speicherbandbreite, passive Kühlung im Doppelslot und eine auf 450 Watt konfigurierbare Leistungsaufnahme; bei 450 Watt maß die Redaktion 580 TFLOPS in BF16. Die 4,6 PFLOPS in MXFP4 sind AMD-Spitzenwerte, einen Preis nennt der Text nicht. | gemeldet
Broadcom vSphere Express und längere Laufzeit für vSphere 8 im EWR Das neue 128-Core-Paket basiert auf vSphere 9, im EWR bleiben vSphere Standard 8 und Enterprise Plus 8 bis 31. Oktober 2027 im Verkauf, aktive Abonnements mit Support längstens bis 31. Oktober 2028. Unsere Einordnung steht im Beitrag zu vSphere Express. | Herstellerangabe
Kioxia: Umsatz im Quartal um 453 Prozent gestiegen Von Juli bis September 2,48 Billionen Yen, die Kapazität für den Rest von 2027 sei ausverkauft und über die Hälfte der Menge für 2028 vertraglich gebunden. Für SSD-Preise folgt daraus, abgeleitet, wenig Entspannung. | gemeldet
Qualcomm validiert gestapelten HBC-Speicher für den AI250 Qualcomm misst die 18-fache Bandbreite gegenüber externem LPDDR5X; getestet wurden zwei statt der später vorgesehenen vier DRAM-Lagen, Muster sollen im ersten Halbjahr 2027 kommen. | Herstellerangabe

KI und Entwicklung

OpenAI: 1.724 bestätigte Kernel-Fehler, 1.169 Root-Exploits Autonome Agenten durchsuchten im Oktober den Kernel-Hauptzweig: 2.308 Verdachtsfälle, 1.724 bestätigt, 1.169 lokale Root-Exploits, Kosten rund 1,2 Millionen Dollar. Die 948 beschreiben die Quellen unterschiedlich: SecurityWeek gibt OpenAIs Angabe wieder, es seien einzelne Patches; Help Net Security nennt 1.169 Root-Exploits, die nach dem Zusammenfassen gleicher Ursachen 948 verschiedene Schwachstellen ergeben. Was die Zahl genau zählt, ist damit nicht geklärt. Alle Zahlen stammen von OpenAI. Als Gegenmaßnahme nennen die Berichte Isolation, etwa mit Firecracker oder gVisor. | gemeldet
vLLM 0.33.0: stabile ABI für CUDA-Wheels Seit Version 0.33.0 sollen die CUDA-Wheels ABI-stabil gegen libtorch sein; das Projekt zeigt einen Wechsel von torch 2.14.1 auf 2.15.0 ohne Neubau von vLLM, bisher nur an einem Entwicklungsstand und nur für CUDA. Das Blog selbst warnt, weitere Abhängigkeiten zu prüfen. Einen unabhängigen Beleg haben wir nicht gefunden. Abgeleitet: Den Container-Pin auf die getestete Kombination behalten und einen torch-Wechsel nur im Testcontainer probieren. Zum Wegfall von CUDA 12.9 siehe unseren Beitrag. | Herstellerangabe
Kinference: Steuerungsebene vor vLLM Das Open-Source-Projekt (Apache 2.0) verteilt Anfragen nach Warteschlange und KV-Cache-Inhalt und begrenzt Token-Raten und Kosten je Mandant. Cloud Native Now berichtet am selben Tag. Voraussetzung ist Kubernetes, die Helm-Charts laufen nur mit --devel. Für einen Einzelhost mit LiteLLM braucht man es nicht (abgeleitet). | Herstellerangabe
Kimi K3.1 Pro mit Day-0-Unterstützung in vLLM Rund 2,8 Billionen Parameter, 104 Milliarden aktiv, 1 Million Kontext, MXFP4-Gewichte; die Beispiele laufen auf GB300, MI355X und TPU v7x. Auf einem Host mit 128 GB VRAM passt das Modell nicht (abgeleitet). | Herstellerangabe
Anthropic Message Threads (Public Beta) Statt den ganzen Verlauf neu zu senden, gehen nur Änderungen an die API; laut Anthropic sinkt die Zeit bis zum ersten Token bei 500.000 bis einer Million Token um etwa 35 Prozent. Der Thread liegt verschlüsselt im Speicher und läuft nach fünf Minuten Inaktivität ab. | Herstellerangabe
Anthropic FlashProve unter Apache 2.0 Ein Prototyp mit EPFL, MIT und StarkWare, der kryptografisch belegt, dass ein bestimmtes Modell eine bestimmte Antwort erzeugt hat, ohne die Gewichte offenzulegen. Getestet mit Llama 4 Maverick: Der Beweis für 1.024 Token ist etwa 18,78 MB groß, die Prüfung dauert rund 17 Sekunden auf 24 CPU-Threads. | gemeldet

Software-Releases

Open WebUI 0.13.0 Eine Schema-Migration (vorher Backup; bei mehreren Workern alle Instanzen gleichzeitig aktualisieren) und Sicherheitsfixes, dazu ein Tab-Arbeitsbereich, Side-Chats und MCP-Apps im Chat. Das Limit für Tool-Aufrufe steigt von 256 auf 1.024. | Herstellerangabe
Stalwart 1.0.3 Blobs lassen sich im Ruhezustand verschlüsseln, neue OAuth-Scopes, IMAP-SEARCH mit bis zu 32 Ebenen. Beim ersten Start nach dem Update ist ein einmaliger Neustart mit STALWART_UPDATE_ROLE_PERMISSIONS=true nötig. Wir betreiben 1.0.2 (Stand 8. November). | Herstellerangabe
LiteLLM 1.108.0 (LTS) Entra-ID auf allen Azure-Foundry-Routen, geteilte Budgets für Modellgruppen und zwei Breaking Changes (prompt_token_calculator entfällt, Cerebras-Parameter). Die Sicherheitsfixes haben wir nur aus den PR-Titeln abgeleitet. Gelesen wurde die Hälfte der Notes. | Herstellerangabe
Fedora 45 und openSUSE Leap 16.1 Fedora 45 bringt Kernel 7.2, GNOME 51 und eine standardmäßig aktive RPM-Signaturprüfung. Leap 16.1 basiert auf SLES 16.1 mit Kernel 6.12 LTS und einem neuen Immutable-Modus mit Snapshot je Update. | gemeldet
Ollama 0.40.15 Parallelanfragen für rekurrente und Vision-GGUF-Modelle, YaRN-Langkontext für Qwen3 und das Modell MiMo V2.6 mit 9 Milliarden Parametern. Das Release-Datum ist uneinheitlich (3. oder 6. November), daher "in dieser Woche". | Herstellerangabe
Caddy 2.11.8 und 2.11.9: fünf Sicherheitshinweise zu file_server, php_fastcgi und root mit Alle fünf GitHub-Advisories vom 4. November sind in 2.11.8 behoben, eine ist als hoch eingestuft (GHSA-r766-rf9f-588h, Vorbedingung ist ein root aus {host}). Version 2.11.9 behebt eine Regression aus 2.11.8 und weitere Sicherheitsprobleme, vor allem in FastCGI, und bringt Breaking Changes für FastCGI; wer php_fastcgi betreibt, plant also gleich 2.11.9. Ein Caddy, der nur reverse_proxy macht, erfüllt die Vorbedingungen nach unserer Ableitung nicht: Im Caddyfile unseres Gateways zählte grep -c am 8. November jeweils 0 Treffer für file_server, try_files, php_fastcgi, root und on_demand; {host} steht 8-mal darin, aber in keinem root. Details und Prüfbefehl stehen im Beitrag. | gemeldet
Docker Engine 29.9.3 und BuildKit 0.34.2 Die Version vom 3. November behebt vier CVE. Zu zwei davon liegen die GitHub-Advisories vor: CVE-2026-116587 (go-jose, hohe CPU-Last beim Lesen präparierter RSA-Schlüssel, Denial of Service, Einstufung hoch, CVSS 3.1: 7,5) und CVE-2026-116591 (zstd-Bibliothek von klauspost, Absturz bei präparierten Daten, Einstufung hoch, CVSS 4.0: 8,7). Dazu kommen zwei Swarm-Hinweise: CVE-2026-115538 (Overlay-Verschlüsselung, nachdem firewalld die iptables-Regeln von Docker geleert hat) und CVE-2026-115539 (Zertifikate nach einem Leader-Wechsel). Für beide sind uns keine Einstufungen bekannt, ihre GitHub-Advisory-Seiten (GHSA-6jhp-7446-hf7f, GHSA-628g-hv7f-pgjc) lieferten am 8. November 404. Ein einzelner Host ohne Swarm ist von ihnen nach den Titeln nicht betroffen (abgeleitet). BuildKit 0.34.2 schließt zwei weitere Advisories ohne CVE-Nummer. Wir haben am 8. November auf fünf Docker-Hosts docker version abgefragt: Die Stände reichen von 26.1.5 bis 29.8.0, keiner ist schon auf 29.9.3. | Herstellerangabe
PostgreSQL 19: Erscheinen auf den 19. November verschoben RC1 gab es am 15. Oktober, RC2 ist für den 12. November geplant, die Freigabe für den 19. November, wenn nichts dazwischenkommt. Das nennt die RC1-Ankündigung; die Mail des Release-Teams von Jonathan Katz vom 10. Oktober begründet die Verschiebung mit den vielen Korrekturen in den Stable-Zweigen, die RC2 vor der Freigabe aufnehmen soll. Die Roadmap-Seite nennt noch den Oktober und ist veraltet. Am 12. November kommt auch das nächste Minor-Release der unterstützten Versionen. | Herstellerangabe
Ceph Tentacle 20.2.5 Das Release vom 2. November härtet laut Release-Notes die Prüfung der CephX-Service-Tickets ("hardened service ticket verification"); für diese Änderung nennen die Notes keine eigene CVE-Nummer. Dieselbe Seite warnt: Upgrades von Squid 19.2.6 auf Tentacle-Versionen vor 20.2.4 können scheitern, die Daemons vor 20.2.4 starten nicht, und wenn nur die Manager aktualisiert sind, bleibt als Ausweg, sie mit dem alten Image neu aufzusetzen. Wer von 19.2.6 kommt, geht also nicht auf eine Version vor 20.2.4. | Herstellerangabe

Windows

KB5127936 soll den RDP-Fehler 0xC000000D beheben Das optionale Preview-Update soll eine Regression seit KB5124010 beheben (Born konnte das nicht bestätigen), bei der sich Nicht-Administratoren mit aktivem Administratorschutz nicht per Remotedesktop anmelden konnten; ausgerollt wird es mit dem Patchday am 10. November. Relevant für Terminalserver. | gemeldet
Warum der Task-Manager unter Last hängt Bei CPU-Mangel leiden alle Prozesse, und eine höhere Priorität hilft nicht bei Wartezeiten auf Sperren. Als Abhilfe nennt der Artikel Strg+Alt+Entf, weil dieser Desktop geschützt läuft. | gemeldet

Smart Home

Fritz!Smart Energy 201: DECT-Steckdose mit Verbrauchsmessung für 49 Euro Bis 3.680 Watt, Standby unter 0,2 Watt, Fritzbox mit DECT-Basis nötig. Zur Anbindung an andere Systeme nennt heise das FritzSmart Gateway oder die Matter-Bridge der Fritzbox 5690 Pro, und die läuft bisher nur mit Labor-Firmware. Die Primärseite von AVM war nicht erreichbar. | gemeldet
evcc 0.319.0 mit Breaking Changes Das Release vom 8. November ändert die Huawei-SmartLogger-Anbindung (Batterie entfernt, Curtailment als eigene Geräte), das Verhalten des Optimizers für die Heimbatterie beim Laden mit PV-Überschuss und die Anmeldung bei Volvo Connected (jetzt OAuth2). Neu ist EEBus für Wärmepumpen von Buderus und Bosch. SmarthomeAssistent meldet die Wärmepumpen-Anbindung ebenfalls, der Artikel beschreibt sie ausführlich: nötig sind ein Buderus-MX400-Gateway oder Bosch K40 RF mit OHPCF, praktisch bestätigt ist nur die Buderus WLW186i MB AR. | Herstellerangabe
Eve Thermo 5. Generation im Test Ab 72,99 Euro, Matter über Thread, lokal ohne Cloud und Konto. Der Raumsensor Eve Thermo Control lässt sich per Matter-Binding verbinden, auch aus Home Assistant mit dem Add-on "Matter Binding Helper". Als Nachteile nennt der Test Zeitpläne nur mit iOS oder Google Home und den Preis. Wertung und Note haben wir nicht gelesen. | gemeldet

Aus dem Blog

Diese Woche erschienen:

Quellen dieser Ausgabe

Deep Dive APT: Debian DSA-6607-1, Ubuntu USN-8996-1, Ubuntu-Blog, APT-Changelog, Linuxiac, linuxnews.de
Deep Dive Speicherkrise: heise zu RTX 5080 und 5090, PCGH-Kostenrechnung, Windows Experience Blog, pureinfotech, windowspro.de, Dr. Windows, heise zu Altman, heise/c't zu RAM in Smartphones, noted.lol zu NAS-Preisen
Deep Dive Home Assistant: Release Notes 2026.11, Matter Alpha zum Marketplace
Digest: Help Net Security zu sshole, SecurityWeek zu OpenSSH, Keycloak 26.8.2, Elestio, Self-hosted Weekly 45, SecurityWeek zu SonicWall, SecurityWeek zu SonicWall GMS, borncity zu WordPress, SecurityWeek zu Barracuda, rsync NEWS, Linuxiac zu rsync, StorageReview zu MI350P, StorageReview zu vSphere Express, Blocks & Files zu Kioxia, ServeTheHome zu Qualcomm, SecurityWeek zu OpenAI, Help Net Security zu OpenAI, vLLM-Blog, stabile ABI, vLLM-Blog, Kinference, Cloud Native Now, vLLM-Blog, Kimi K3.1 Pro, The Decoder zu Message Threads, Help Net Security zu FlashProve, Open WebUI 0.13.0, Stalwart 1.0.3, LiteLLM 1.108.0, 9to5linux zu Fedora 45, 9to5linux zu Leap 16.1, Ollama 0.40.15, borncity zu KB5127936, t3n zum Task-Manager, heise zu Fritz!Smart Energy 201, heise zu Eve Thermo
Nachtrag vom 8. November: Caddy v2.11.8, Caddy v2.11.9, Caddy, Security-Advisories, Docker Engine, Release Notes 29, Docker, GHSA go-jose (CVE-2026-116587), Docker, GHSA zstd (CVE-2026-116591), PostgreSQL 19, RC1-Ankündigung, PostgreSQL, Mail des Release-Teams, PostgreSQL, Roadmap, Ceph Tentacle, Release-Notes, evcc 0.319.0, SmarthomeAssistent zu evcc 0.319.0
Logos (CC0): Simple Icons 16.36.0, Ubuntu, Simple Icons 16.36.0, Home Assistant. Markenrichtlinien laut Icon-Daten: design.ubuntu.com/brand (Ubuntu), design.home-assistant.io/#brand/logo (Home Assistant).

Zusammengestellt am Montag, 09.11.2026. Quellen: siehe oben. Was danach dazukommt, steht in der nächsten Ausgabe.

IT-News KW46: APT, GPU-Preise, Home Assistant