{"briefing":{"date":"2026-10-22","lede":"Ein Sicherheitstag: LiteLLM 1.107.0 auf PyPI war ein Credential-Stealer, und die von KI-Modellen mitgefundenen PHP-RCE-Lücken sind nach geleaktem Embargo öffentlich. Dazu bietet Google Cloud jetzt auch GPT-6 an.","tldr":[{"title":"LiteLLM 1.107.0 kompromittiert","text":"Die Version war am 21.10. rund zwei Stunden auf PyPI und installiert per `cook.pth` und `sitecustomize.py` einen Stealer für SSH-, Cloud-, Kubernetes-, GitLab- und KI-Tool-Zugänge plus stündliche Hintertür. Sauber: 1.106.2 und 1.107.0rc2.","url":"https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor/","source_label":"SafeDep","originaltitel":null,"themen":["sicherheit","devops"],"modell":null,"bezug":[]},{"title":"PHP2Shell: kritische PHP-RCE","text":"PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei Lücken (CVSS 9.2), mit denen Wiz unauthentifizierte RCE auf WordPress, Drupal und Joomla zeigte – gefunden mit Hilfe von GPT-5.6 Sol und Gemini 4 Argon. Das Embargo ist geleakt, sofort patchen.","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/","source_label":"PHP Foundation","originaltitel":null,"themen":["sicherheit","devops","agenten"],"modell":null,"bezug":[]},{"title":"GPT-6 auf Google Cloud","text":"Google Cloud bringt GPT-6 Astra, GPT-6.1 Sol und GPT-6 Luna als Private Preview in seinen Model Garden – neben Gemini und Claude. Abrechnung über Marketplace und bestehende Commitments; Codex CLI kann ab sofort gegen die Gemini-Plattform laufen.","url":"https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-brings-openai-models-to-customers","source_label":"Google Cloud Blog","originaltitel":null,"themen":["modelle","devops"],"modell":null,"bezug":[]}],"models":[{"title":"OpenAI-Modelle in Google Clouds Model Garden","paragraphs":["Google Cloud führt GPT-6 Astra (Coding, Computer Use, Forschung), GPT-6.1 Sol (fast Astra-Niveau, günstiger) und GPT-6 Luna (schnell, günstig) als Private Preview für ausgewählte Unternehmenskunden ein; Interessenten melden sich per Formular. In Gemini for Business und Google Antigravity sollen sie „bald“ folgen. Regionen und Preise nennt der Blogpost nicht.","Laut Google bleiben Prompts und Ausgaben im Datenperimeter des Kunden und werden nicht zum Training genutzt; die Modelle laufen auf dedizierter Google-Infrastruktur, mit VPC Service Controls und einheitlichem Audit-Log. Zero Data Retention und Confidential Compute sind angekündigt, aber noch nicht verfügbar. Lokale Codex-CLI- und Desktop-Workflows lassen sich ab sofort an die Gemini-Plattform anbinden."],"tag":"Cloud","date_label":"21.10.","meta":["HN: 260 Punkte","Private Preview"],"install":null,"links":[{"label":"Google Cloud Blog","url":"https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-brings-openai-models-to-customers"},{"label":"The Decoder","url":"https://the-decoder.de/google-cloud-bietet-als-erster-anbieter-gemini-claude-und-openai-modelle-auf-einer-plattform-an/"},{"label":"HN-Diskussion","url":"https://news.ycombinator.com/item?id=50180079"}],"originaltitel":null,"themen":["modelle","devops"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]},{"title":"Inception Mercury 3: Diffusions-LLM mit 1 Mio. Token Kontext","paragraphs":["Inception nennt Mercury 3 sein bislang stärkstes Diffusions-Sprachmodell: rund 1.068 Token/s auf Nvidia-GPUs, 1 Mio. Token Kontext (Mercury 2.5: 260.000) und laut Hersteller in acht von zwölf Benchmarks vor GPT-6 Luna. Alles Herstellerangaben, unabhängige Messungen fehlen noch.","Einführungspreis 0,10 $ je Mio. Input- und 0,35 $ je Mio. Output-Token (50 % Rabatt auf den Listenpreis), OpenAI-kompatible API über Inception, OpenRouter, Baseten und Vercel. Keine offenen Gewichte."],"tag":"Diffusion","date_label":"19.–21.10.","meta":[],"install":null,"links":[{"label":"The Decoder","url":"https://the-decoder.de/inceptions-mercury-3-soll-schnellstes-diffusions-sprachmodell-sein-und-gpt-6-luna-in-acht-von-zwoelf-benchmarks-schlagen/"},{"label":"Unite.AI","url":"https://www.unite.ai/?p=489882"}],"originaltitel":null,"themen":["modelle","forschung"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]}],"engineering":[{"title":"Claude Code v2.1.307/308: `safety_event` für OTel und MCP-Fixes","paragraphs":["Neu ist das OpenTelemetry-Event `claude_code.safety_event`: Es entsteht bei jedem Tool-Aufruf, den eine Permission-Regel, der Auto-Mode, ein Safety-Check, ein Hook oder die Sandbox gestoppt, nachgefragt oder zurückgeschickt hat. `/claude-api api-version` hebt Claude-API-Code auf die API-Version `2026-10-21`; `@claude review stop` beendet ein `@claude review always`-Abo.","Behoben u. a.: HTTP-MCP-Tool-Aufrufe wurden bei abgebrochener Verbindung doppelt gesendet (jetzt nur noch für lesende oder idempotente Tools wiederholt), MCP-Server blieben nach Ruhezustand in Headless-Läufen als Timeout hängen, `opus[1m]` scheiterte mit `CLAUDE_CODE_DISABLE_1M_CONTEXT`. Self-hosted Runner: Checkout-Hooks brechen jetzt standardmäßig nach 30 Minuten ab (`--checkout-hook-timeout-min`). v2.1.308 (22.10.) bringt nur Bugfixes."],"tag":"Release","date_label":"21.–22.10.","meta":[],"install":null,"links":[{"label":"Release-Notes","url":"https://github.com/anthropics/claude-code/releases"}],"originaltitel":null,"themen":["claude","devops"],"modell":null,"bezug":["2026-10-21.engineering.2"],"schwere":null,"betrifft":[]},{"title":"PHP Foundation: Lehren aus dem geplatzten Embargo","paragraphs":["Die CVE-IDs tauchten am 20.10. gegen 15 Uhr UTC mit falschem CVSS 10.0 in Foren auf; PHP zog Vorankündigung und Release um einen Tag vor. Kurz darauf veröffentlichte die meldende Firma Calif versehentlich ein PoC-Video, und Chainguard lieferte gefixte Images über sechs Stunden vor dem koordinierten Release aus. Funktionierende Exploits waren laut Security-Team beim Release nicht bekannt.","Die Foundation hat seit Mai ein Ecosystem Security Team und einen „AI Security Engineer in Residence“; Entscheidungen im Security-Team sollen künftig per Mehrheit fallen, die Leitung früher eingreifen, wenn ein Fix an Abwägungen hängt. OpenAI ordnet den Fund in sein Programm „Patch the Planet“ ein und stellt einen Checker bereit; die OpenAI-Seite war für uns nicht abrufbar (HTTP 403)."],"tag":"Disclosure","date_label":"20.–21.10.","meta":["HN: 244 Punkte"],"install":null,"links":[{"label":"PHP Foundation","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"label":"Checker (GitHub)","url":"https://github.com/openai/php2shell-checker"},{"label":"HN: Patch the Planet","url":"https://news.ycombinator.com/item?id=50181175"}],"originaltitel":null,"themen":["sicherheit","agenten"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]}],"skills":[],"skills_note":"anthropics/skills und claude-plugins-official nicht eigens abgerufen; keine neuen Skills in den Suchtreffern. Auf GitHub Trending stehen weiter cloudflare/security-audit-skill, headroom und graphify (alle schon berichtet).","trending":[{"name":"DietrichGebert/ponytail","url":"https://github.com/DietrichGebert/ponytail","stars_today":"+2,1k","description":"Leitplanken für das Verhalten von KI-Agenten."},{"name":"cloudflare/security-audit-skill","url":"https://github.com/cloudflare/security-audit-skill","stars_today":"+2,0k","description":"Agenten-Skill für Sicherheits-Audits mit unabhängiger Gegenprüfung."},{"name":"stablyai/orca","url":"https://github.com/stablyai/orca","stars_today":"+1,5k","description":"Verwaltet Flotten von Coding-Agenten."},{"name":"Graphify-Labs/graphify","url":"https://github.com/Graphify-Labs/graphify","stars_today":"+1,4k","description":"Wissensgraph-Skill für Claude Code und ähnliche Agenten."},{"name":"Comfy-Org/ComfyUI","url":"https://github.com/Comfy-Org/ComfyUI","stars_today":"+939","description":"GUI und Backend für Diffusionsmodelle."},{"name":"shiyu-coder/Kronos","url":"https://github.com/shiyu-coder/Kronos","stars_today":"+575","description":"Foundation-Modell für Finanzmarktdaten."},{"name":"headroomlabs-ai/headroom","url":"https://github.com/headroomlabs-ai/headroom","stars_today":"+474","description":"Komprimiert Kontext für Coding-Agenten, mit MCP-Server."},{"name":"vllm-project/vllm","url":"https://github.com/vllm-project/vllm","stars_today":"+441","description":"Inferenz- und Serving-Engine für LLMs."},{"name":"akitaonrails/ai-memory","url":"https://github.com/akitaonrails/ai-memory","stars_today":"+286","description":"Langzeitgedächtnis für Agenten-CLIs, in Rust."}],"trending_note":"github.com/trending (daily) am 22.10. abgerufen, ohne Datumsangabe; die Liste ähnelt stark der vom Vortag.","risks":[{"title":"LiteLLM 1.107.0: Stealer und Hintertür über PyPI","paragraphs":["Die Wheels und das sdist von LiteLLM 1.107.0 wurden am 21.10. zwischen 11:39 und 11:40 UTC hochgeladen und gegen 13:40 UTC entfernt. Laut SafeDep startet `cook.pth` bei jedem Python-Start einen Stealer (SSH, AWS/Azure/gcloud, Kubernetes, Docker, GitLab-/Jenkins-/Terraform-/Vault-Secrets, Claude-/Cursor-/Codex-Tokens, Umgebungsvariablen anderer Prozesse über `/proc`, Instanz-Metadaten, LiteLLM-Proxy-DB); `sitecustomize.py` lädt stündlich Code nach. Der Einstiegsweg ist unklar, die Wheels stammen vermutlich aus BerriAIs privater Release-Pipeline; Provenance-Attestierungen fehlen.","IOCs: `cook.pth`, `cook.py`, `sitecustomize.py` in `site-packages`, `/tmp/.pc_once_72129118c59f5636c0bb`, `/tmp/remote_code_loader.lock`, Variable `PRIVCOLLECT_ACTIVE=1`, Verbindungen zu `www.litellm[.]dev`. Wer die Version installiert hatte, behandelt alle Zugangsdaten des Hosts als kompromittiert und baut ihn neu auf. Sauber sind 1.106.2 und 1.107.0rc2."],"tag":"Supply Chain","date_label":"21.10.","meta":["HN: 463 Punkte"],"install":null,"links":[{"label":"SafeDep","url":"https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor/"},{"label":"HN-Diskussion","url":"https://news.ycombinator.com/item?id=50181114"}],"originaltitel":null,"themen":["sicherheit","devops"],"modell":null,"bezug":[],"schwere":"hoch","betrifft":["LiteLLM","PyPI","Kubernetes","GitLab CI"]},{"title":"PHP2Shell: CVE-2026-109618 und CVE-2026-109619","paragraphs":["Zwei Speicherfehler im PHP-Kern (CVSS 9.2): Ein Out-of-Memory-Fehler im falschen Moment lässt halb initialisierte Daten als gültig gelten, ein Fatal Error hinterlässt Zustand, der auf Speicher einer früheren Anfrage zeigt (Use-after-free). Betroffen sind laut Wiz praktisch alle Versionen seit PHP 5.4; RCE gezeigt mit Apache/mod_php und über PHP-FPM, ohne Anmeldung gegen aktuelle WordPress-, Drupal- und Joomla-Images.","Fix: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 – das Update ist die einzige vollständige Abhilfe, Cloudflare, Fastly und Vercel haben Übergangsregeln. Wiz nennt als Anzeichen ungewöhnliche Multipart-Anfragen mit anschließenden Memory-Limit-Fehlern, gehäufte HTTP 500, auffällige `PHPSESSID`-Cookies und unerklärlichen Worker-Wechsel. Wiz warnt, dass KI-Modelle Exploits schnell an Versionen und Speicherlayouts anpassen."],"tag":"RCE","date_label":"21.10.","meta":[],"install":null,"links":[{"label":"PHP Foundation","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"label":"Wiz Research","url":"https://www.wiz.io/blog/php2shell-php-rce"},{"label":"Simon Willison","url":"https://simonwillison.net/2026/Oct/21/php-security-release/"},{"label":"The Decoder","url":"https://the-decoder.de/openais-gpt-5-6-sol-und-gemini-4-argon-entdeckten-die-kritische-php-sicherheitsluecke-die-millionen-webseiten-betrifft/"}],"originaltitel":null,"themen":["sicherheit","agenten"],"modell":null,"bezug":[],"schwere":"hoch","betrifft":["PHP","WordPress","Drupal","Joomla","PHP-FPM"]}],"todos":[{"title":"LiteLLM 1.107.0 in Images und Runnern suchen","paragraphs":["In Container-Images, venvs und auf GitLab-Runnern prüfen, ob die Version je installiert war – auch indirekt als Abhängigkeit von Agenten-Tools. Bei einem Treffer: Host neu aufbauen, alle Secrets darauf rotieren (Kubeconfig, Cloud-Keys, CI-Tokens, Claude-Token), Cloud-Audit-Logs prüfen. Danach `litellm` hart auf 1.106.2 pinnen und Hashes im Lockfile erzwingen."],"tag":null,"date_label":null,"meta":[],"install":"find / -path '*site-packages*' \\( -name cook.pth -o -name sitecustomize.py \\) 2>/dev/null; pip show litellm","links":[{"label":"SafeDep","url":"https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor/"}],"originaltitel":null,"themen":["sicherheit","devops"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]},{"title":"PHP-Images heute aktualisieren","paragraphs":["Basis-Images auf PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 heben, neu bauen und ausrollen; im Kubernetes-Cluster nach PHP-Workloads mit alten Tags suchen. Bis dahin WAF-Regeln des CDN-Anbieters aktivieren und auf gehäufte 500er mit Memory-Limit-Fehlern alarmieren."],"tag":null,"date_label":null,"meta":[],"install":"php -r 'echo PHP_VERSION, PHP_EOL;'","links":[{"label":"PHP Foundation","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"label":"Wiz Research","url":"https://www.wiz.io/blog/php2shell-php-rce"}],"originaltitel":null,"themen":["sicherheit","devops"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]},{"title":"Claude Code: `safety_event` ins Monitoring holen","paragraphs":["Nach dem Update auf v2.1.307+ das neue OTel-Event `claude_code.safety_event` im Collector auswerten: Es zeigt, welche Tool-Aufrufe Permission-Regeln, Auto-Mode, Hooks oder Sandbox blockiert haben – nützlich, um Allowlists nachzuschärfen. Wer self-hosted Runner nutzt, prüft lange Checkout-Hooks gegen das neue 30-Minuten-Limit."],"tag":null,"date_label":null,"meta":[],"install":"claude update","links":[{"label":"Release-Notes","url":"https://github.com/anthropics/claude-code/releases"}],"originaltitel":null,"themen":["claude","devops"],"modell":null,"bezug":[],"schwere":null,"betrifft":[]}],"sources":[{"label":"Hacker News","url":"https://news.ycombinator.com/"},{"label":"Simon Willison","url":"https://simonwillison.net/"},{"label":"GitHub Trending","url":"https://github.com/trending?since=daily"},{"label":"Claude-Code-Releases","url":"https://github.com/anthropics/claude-code/releases"},{"label":"SafeDep: LiteLLM 1.107.0","url":"https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor/"},{"label":"PHP Foundation","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"label":"Wiz: PHP2Shell","url":"https://www.wiz.io/blog/php2shell-php-rce"},{"label":"Google Cloud Blog","url":"https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-brings-openai-models-to-customers"},{"label":"The Decoder","url":"https://the-decoder.de/"},{"label":"heise KI","url":"https://www.heise.de/thema/Kuenstliche-Intelligenz"},{"label":"Hugging Face Papers","url":"https://huggingface.co/papers"}]},"meta":{"model":"claude-opus-5-5","started_at":"2026-10-22T04:38:03Z","finished_at":"2026-10-22T04:41:53Z","input_tokens":0,"output_tokens":0,"web_searches":18,"web_fetches":16,"iterations":0,"source":"import"}}