Espresso in 1 Min. gelesen
Die Version war am 21.10. rund zwei Stunden auf PyPI und installiert per cook.pth und sitecustomize.py einen Stealer für SSH-, Cloud-, Kubernetes-, GitLab- und KI-Tool-Zugänge plus stündliche Hintertür. Sauber: 1.106.2 und 1.107.0rc2.
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei Lücken (CVSS 9.2), mit denen Wiz unauthentifizierte RCE auf WordPress, Drupal und Joomla zeigte – gefunden mit Hilfe von GPT-5.6 Sol und Gemini 4 Argon. Das Embargo ist geleakt, sofort patchen.
Google Cloud bringt GPT-6 Astra, GPT-6.1 Sol und GPT-6 Luna als Private Preview in seinen Model Garden – neben Gemini und Claude. Abrechnung über Marketplace und bestehende Commitments; Codex CLI kann ab sofort gegen die Gemini-Plattform laufen.
Google Cloud führt GPT-6 Astra (Coding, Computer Use, Forschung), GPT-6.1 Sol (fast Astra-Niveau, günstiger) und GPT-6 Luna (schnell, günstig) als Private Preview für ausgewählte Unternehmenskunden ein; Interessenten melden sich per Formular. In Gemini for Business und Google Antigravity sollen sie „bald“ folgen. Regionen und Preise nennt der Blogpost nicht.
Laut Google bleiben Prompts und Ausgaben im Datenperimeter des Kunden und werden nicht zum Training genutzt; die Modelle laufen auf dedizierter Google-Infrastruktur, mit VPC Service Controls und einheitlichem Audit-Log. Zero Data Retention und Confidential Compute sind angekündigt, aber noch nicht verfügbar. Lokale Codex-CLI- und Desktop-Workflows lassen sich ab sofort an die Gemini-Plattform anbinden.
Inception nennt Mercury 3 sein bislang stärkstes Diffusions-Sprachmodell: rund 1.068 Token/s auf Nvidia-GPUs, 1 Mio. Token Kontext (Mercury 2.5: 260.000) und laut Hersteller in acht von zwölf Benchmarks vor GPT-6 Luna. Alles Herstellerangaben, unabhängige Messungen fehlen noch.
Einführungspreis 0,10 $ je Mio. Input- und 0,35 $ je Mio. Output-Token (50 % Rabatt auf den Listenpreis), OpenAI-kompatible API über Inception, OpenRouter, Baseten und Vercel. Keine offenen Gewichte.
Neu ist das OpenTelemetry-Event claude_code.safety_event: Es entsteht bei jedem Tool-Aufruf, den eine Permission-Regel, der Auto-Mode, ein Safety-Check, ein Hook oder die Sandbox gestoppt, nachgefragt oder zurückgeschickt hat. /claude-api api-version hebt Claude-API-Code auf die API-Version 2026-10-21; @claude review stop beendet ein @claude review always-Abo.
Behoben u. a.: HTTP-MCP-Tool-Aufrufe wurden bei abgebrochener Verbindung doppelt gesendet (jetzt nur noch für lesende oder idempotente Tools wiederholt), MCP-Server blieben nach Ruhezustand in Headless-Läufen als Timeout hängen, opus[1m] scheiterte mit CLAUDE_CODE_DISABLE_1M_CONTEXT. Self-hosted Runner: Checkout-Hooks brechen jetzt standardmäßig nach 30 Minuten ab (--checkout-hook-timeout-min). v2.1.308 (22.10.) bringt nur Bugfixes.
Anknüpfung an: Claude Code v2.1.305/306: Sandbox-Namespaces und Gateway-Fix (21.10.)
Die CVE-IDs tauchten am 20.10. gegen 15 Uhr UTC mit falschem CVSS 10.0 in Foren auf; PHP zog Vorankündigung und Release um einen Tag vor. Kurz darauf veröffentlichte die meldende Firma Calif versehentlich ein PoC-Video, und Chainguard lieferte gefixte Images über sechs Stunden vor dem koordinierten Release aus. Funktionierende Exploits waren laut Security-Team beim Release nicht bekannt.
Die Foundation hat seit Mai ein Ecosystem Security Team und einen „AI Security Engineer in Residence“; Entscheidungen im Security-Team sollen künftig per Mehrheit fallen, die Leitung früher eingreifen, wenn ein Fix an Abwägungen hängt. OpenAI ordnet den Fund in sein Programm „Patch the Planet“ ein und stellt einen Checker bereit; die OpenAI-Seite war für uns nicht abrufbar (HTTP 403).
anthropics/skills und claude-plugins-official nicht eigens abgerufen; keine neuen Skills in den Suchtreffern. Auf GitHub Trending stehen weiter cloudflare/security-audit-skill, headroom und graphify (alle schon berichtet).
Die Wheels und das sdist von LiteLLM 1.107.0 wurden am 21.10. zwischen 11:39 und 11:40 UTC hochgeladen und gegen 13:40 UTC entfernt. Laut SafeDep startet cook.pth bei jedem Python-Start einen Stealer (SSH, AWS/Azure/gcloud, Kubernetes, Docker, GitLab-/Jenkins-/Terraform-/Vault-Secrets, Claude-/Cursor-/Codex-Tokens, Umgebungsvariablen anderer Prozesse über /proc, Instanz-Metadaten, LiteLLM-Proxy-DB); sitecustomize.py lädt stündlich Code nach. Der Einstiegsweg ist unklar, die Wheels stammen vermutlich aus BerriAIs privater Release-Pipeline; Provenance-Attestierungen fehlen.
IOCs: cook.pth, cook.py, sitecustomize.py in site-packages, /tmp/.pc_once_72129118c59f5636c0bb, /tmp/remote_code_loader.lock, Variable PRIVCOLLECT_ACTIVE=1, Verbindungen zu www.litellm[.]dev. Wer die Version installiert hatte, behandelt alle Zugangsdaten des Hosts als kompromittiert und baut ihn neu auf. Sauber sind 1.106.2 und 1.107.0rc2.
Zwei Speicherfehler im PHP-Kern (CVSS 9.2): Ein Out-of-Memory-Fehler im falschen Moment lässt halb initialisierte Daten als gültig gelten, ein Fatal Error hinterlässt Zustand, der auf Speicher einer früheren Anfrage zeigt (Use-after-free). Betroffen sind laut Wiz praktisch alle Versionen seit PHP 5.4; RCE gezeigt mit Apache/mod_php und über PHP-FPM, ohne Anmeldung gegen aktuelle WordPress-, Drupal- und Joomla-Images.
Fix: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 – das Update ist die einzige vollständige Abhilfe, Cloudflare, Fastly und Vercel haben Übergangsregeln. Wiz nennt als Anzeichen ungewöhnliche Multipart-Anfragen mit anschließenden Memory-Limit-Fehlern, gehäufte HTTP 500, auffällige PHPSESSID-Cookies und unerklärlichen Worker-Wechsel. Wiz warnt, dass KI-Modelle Exploits schnell an Versionen und Speicherlayouts anpassen.