Willkommen zu allesnurgecloud.com – Ausgabe #255

Herrje, was war das für eine Woche, für alle Menschen, die was mit Internet machen. Ich hoffe, ihr seid bisher alle gut durchgekommen.
Nachdem mein LinkedIn Beitrag zu aktuellen Schwachstellen etwas viral ging, fasse ich euch hier nochmal zusammen, was stand heute alles passiert ist in dieser verrückten Woche:

• Dass es mit php2shell eine hochkritische Lücke in PHP gab, hast du sicher spätestens in der Tagesschau mitbekommen – initial fand ich dies als eine der ersten Meldungen mit der Empfehlung zum „session upload“-Workaround, der hoffentlich noch aktiv ist – denn es kommt wohl noch ein weiterer Fix dazu. Später mehr zu PHP
• Während die NodeJS‑Fraktion sich über die PHP‑Geschichte lustig gemacht hat, erschien dort ein Fix für sämtliche Versionen, unter anderem für einen RCE über eine fehlerhafte Implementierung in der Brotli-Kompression. Imperva taufte das dann passenderweise Node2Shell.
• eMudhra hat aufgrund eines Fehlers Private Keys mit ähh leichten Keys publiziert und sämtliche Browser und Clients mit eigenem Store mussten diese dann revoken – also wieder alles aktualisieren / patchen / deployen – eMudrha hat nun announced, dass sie aus dem Business aussteigen.
• GitLab hatte am Mittwoch einen RCE für sämtliche Versionen mit Score 10.0 veröffentlicht – 19.5.1 ist die aktuellste Version, die du hoffentlich schon lange eingespielt hast.
• 2 Tage später gab es neue Ruby-Versionen, da der GitLab RCE eigentlich einer in Ruby war…
• Eine schadhafte Version des LLM Gateways LiteLLM war eine Zeitlang kompromittiert und wurde mit Credential-Stealer ausgeliefert.
• GoDaddy hat mal kurz 404.000 TLS Zertifiakte revoked und neu ausgestellt.
• Die Cloud-Plattform Railway meldete am 21. Oktober, dass eine „unauthorized 3rd Party“ möglicherweise Zugriff auf sämtliche Environment Variablen aller Kunden gehabt hat.
• PingCAP musste am 19. Oktober einräumen, dass neben Kunden- und Billingdaten auch deren Credentials in einem Angriff erbeutet wurden
• Fortinet hat am 22. Oktober kritische Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer veröffentlicht – die CVEs sollen erst am 10. November veröffentlicht werden – tja, im „Enterprise“ braucht man a bisserl zum Patchen.

Anfang der Woche passiert – OVH musste einräumen, dass für die OVH‑CLI und diverse SDKs kompromittierte Versionen veröffentlicht wurden – ging jetzt auch mir fast durch. Und Google Cloud west2 (London) hatte einen größeren Ausfall, der unter anderem eine lange Downtime beim FinTech Revolut verursacht hat.

Eigentlich könnte ich hier jetzt mit dem Newsletter aufhören, damit ihr genug Zeit habt, euer Zeug zu warten und Patchen – und eure Stakeholder zu überzeugen, dass es keine gute Idee ist, lange mit EoL‑Zeug herumzulaufen oder das Patchen auf nächste Woche zu verschieben.
Diese Zeit haben wir nicht mehr. Nächste Woche, morgen – da ist es zu spät. Trainiere deinen Update-Prozess, flex den Muskel – in Zukunft werden wir das mehrmals am Tag machen müssen, am besten voll automatisiert.

Abschließend empfehle ich noch einen Blick auf die Zero-Day-Clock-Statistiken – die zeigen, wie kritisch und heftig sich das Bild in diesem Jahr noch einmal geändert hat. pwn.watch ist noch ein neues Projekt, welches dir oder deinem Agent in Zukunft vielleicht auch hilft und ganz übel sieht es dann beim CVE Tracker in der Übersicht auf, da ist der Benzinpreis Anstieg ja ziemlich flat im Vergleich. Und ach, da fällt mir doch gerade ein, hab die Linux-Kernel-Patches vom 21. Oktober vergessen und jezt am Samstag hat sich die Brotli Lücke dann von Node auf Python & Co. ausgebreitet – neuer Name „http2shell“.

So, und nu – viel Spaß(?) mit der Ausgabe.

Happy Bootstrapping Podcast

In der aktuellen Podcast Folge 194 habe ich mit Thomas Haberl von OHANA Invest aus Regensburg gesprochen. Nach dem Verkauf seiner ersten Firma DRACOON teilt er jetzt Solarparks in Parzellen auf, die Privatleute ab rund 200.000 Euro kaufen. 2025 hat OHANA so 60 bis 65 Millionen Euro vermittelt, mit 15 Leuten und bewusst ohne Investoren. Wir reden darüber, wie er 2026 auf bis zu 120 Millionen Euro vermitteltes Volumen kommen will. Gerne kannst du die Folge auf YouTube schauen oder wie immer bei Spotify, Apple und allen anderen Playern anhören.

Wenn dir die Podcastfolgen zu lang sind, kannst du gerne auch den Newsletter dazu abonnieren – erscheint jeden Montag (in der Regel).

Support the Newsletter

Übrigens kannst Du meine Arbeit nun auf Patreon supporten, mir ein Bier ausgeben oder mal auf meiner Amazon-Wunschliste vorbeischauen – Danke! Falls du Interesse hast, im Newsletter oder Podcast Werbung zu buchen, kannst du das auf passionfroot machen oder mir einfach ne E-Mail als Antwort auf den NL schicken.

allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:

php2shell: Ein Bug in der Tagesschau

Mittwochabend lief eine Programmiersprache in der Tagesschau. Mainz, die Charité und die hessische Landesregierung hatten ihre Webseiten vorsorglich vom Netz genommen. Das fand ich ausnahmsweise mal richtig: lieber ein paar Stunden Wartungsseite als eine Webshell auf dem Landesportal, wenn man das Zeug nicht rechtzeitig patchen konnte.

Der Anlass heißt php2shell. Gemeint sind zwei Lücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2), über die Angreifer ohne Login Code auf dem Server ausführen können. Auf Apache mit mod_php reicht ein einzelner Request, bevor überhaupt Anwendungscode läuft. Gefixt ist das in 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Lesenswert ist der Bericht der PHP Foundation, weil er ungewöhnlich ehrlich ist. Die Ursache war schon 2024 bei einem Audit aufgefallen, das die Sovereign Tech Agency finanziert hatte. Jeder Fix hätte Kompatibilität oder Extensions gebrochen, und ein kleines, auf Konsens angewiesenes Team konnte sich nicht entscheiden. Also blieb der Fix monatelang liegen. Die Foundation nennt das selbst ein strukturelles Versagen. Chefsache wurde es erst, als Calif, OpenAI und Wiz im August funktionierende Exploits meldeten. Dann leakten am 20. Oktober die CVE-Nummern, Calif veröffentlichte versehentlich ein Video, und Chainguard brach das Embargo mit fertigen Images sechs Stunden vor dem Release (CEO Entschuldigung hier).

Wie früh es losging, zeigt AWS: Im MadPot-Honeypot sei ein erster Versuch schon am 17. Oktober aufgetaucht. Mit der veröffentlichten IP-Liste kannst du deine eigenen Logs durchsuchen. Pauschal blocken soll man die IPs laut AWS ausdrücklich nicht.

Cloudflare hatte seine WAF-Regeln nach eigenen Angaben ab 03:02 UTC aktiv, etwa neun Stunden vor der Veröffentlichung und automatisch auch im Free-Plan. Bunny Shield hatte vorab nur eine Regel für den Upload-Progress-Pfad. Die Multipart-Regeln kamen erst nach dem Release, und sie greifen nur im Blocking-Modus. Wordfence-Gründer Mark Maunder zufolge habe man bei über 5 Millionen geschützten WordPress-Seiten keinen einzigen erfolgreichen Angriff gesehen – immerhin.

Für die Praxis ist Mattias Geniars laufend aktualisierte Übersicht die beste Quelle. Dort steht, welches Repo welchen Stand hat, was neu gestartet werden muss (bei mod_php reicht ein graceful reload nicht, ein Reboot ist nicht nötig) und welche Mitigations man nach dem Patch zurückbaut. Neu ist ein hartes Speicherlimit über memory_hard_limit_percent. Wer es reißt, wird mit Exit-Code 137 beendet.

Laut VirusTotal laufen von rund 1,1 Millionen Servern mit sichtbarer Version etwa 758.000 auf einem EOL-Branch, PHP 7.4 allein auf 187.000 IPs. Der Website Monitoring Dienst OhDear hat in einem Blog Beitrag interessante Statistiken geteilt – 18,8 % der Kunden namen ihre Seite offline, Peak um 14:30 UTC. Die meisten Seiten waren 4 bis 12 Stunden down – das überrascht mich wiederum. Gut, teils waren die ARM Packages und Docker Images recht spät und über Launchpad teilweise aufgrund des Ansturms gar nicht verfügbar.

Dass viele davon trotzdem schnell einen Patch bekamen, liegt vor allem an zwei Leuten. Ondřej Surý hat am Release-Tag für packages.sury.org und die Ubuntu-PPA gebaut und den Fix bis PHP 5.6 zurückportiert. Remi Collet hat RHEL 8 bis 10 versorgt, inklusive 7.4, 8.0 und 8.1. Beide sollen das teils aus dem Urlaub erledigt haben. Wie dünn diese Personaldecke ist, hatte schon curl gezeigt, das im Sommer Urlaub von Security-Reports machen musste (Ausgabe 240). Wer mit PHP Geld verdient, kann Ondřej über GitHub Sponsors und Remi per PayPal unterstützen. Die PHP Foundation braucht ohnehin mehr Geld.

Ach und falls du übrigens „session.upload_progress.enabled=0“ als Workaround gesetzt hast (hatten wir am Mittwoch um 7 Uhr live) – dann solltest du das unbedingt aktiv lassen, denn die Option schützt dich vor einem neuen, aber unwahrscheinlichen CVE-2026-115560.
What a time to be alive!

Today’s PHP Security Release, and How We’re Strengthening PHP Security

---

Sentry knackt die Million für Open Source

Passend zum PHP-Drama oben gibt es eine gute Nachricht: Unter den Empfängern der diesjährigen Sentry-Spenden ist die PHP Foundation mit $45.000. Insgesamt hat Sentry laut Blogpost dieses Jahr $1.000.000 an Open-Source-Maintainer ausgeschüttet.

Die Kurve verfolge ich seit Ausgabe 41. 2021 waren es noch rund $155.000, danach $260.000, $500.000 und zweimal $750.000. Die letzte Runde hatte ich in Ausgabe 230 erwähnt.

Knapp die Hälfte, $495.000, geht über thanks.dev an Hunderte Maintainer aus dem eigenen Dependency-Tree. Weitere $100.000 verteilt ecosyste.ms Funds auf kritische Pakete in Python, Ruby, Rust, JS und Go. Neu ist die Suche nach „Phantom Dependencies“: Zusammen mit dem Software Stewardship Lab will Sentry auch Abhängigkeiten bezahlen, die keine normale Dependency-Analyse findet. Dazu kommen Foundations wie die PSF ($60.000), Ruby Central, Django und Packagist. Das Team vom Syntax-Podcast hat weitere $100.000 verteilt, unter anderem an FFmpeg, Jellyfin, OBS und Caddy-Maintainer Matt Holt.

Das von Sentry gestartete Open Source Pledge zählt inzwischen 37 Firmen, die zusammen gut 8,4 Millionen Dollar gezahlt haben. Dafür, dass quasi jede Firma auf diesem Ökosystem läuft, ist das wenig. Die PSF meldete im August 69 % höhere AWS-Kosten, weil Agents und CI-Pipelines die Registry fluten.

Übrigens – neben der deutschen PHP‑Performance-Profiling-Firma Tideways aus Bonn ist die von der Bundesregierung finanzierte „Souvereign Tech Agency“ großer Sponsor der PHP‑Foundation. Leider entspricht die Spendensumme in Höhe von 730.000$ im Jahr bei weitem nicht der Kritikalität und Verbreitung der Software. Wenn deine Firma PHP produktiv einsetzt, eine große Bude ist, die ihre Website damit baut – dann überzeugt bitte jemanden in eurem Laden, eine einmalige oder besser Dauerspende einzurichten.

We just gave a million dollars to Open Source maintainers

---

---

Topgolf spart 11 Millionen ohne VMware

Bei Topgolf wären die VMware-Kosten unter Broadcom um 400 % gestiegen. Statt zu zahlen, hat das Unternehmen laut Ars Technica 12.000 VMs auf VergeOS von VergeIO umgezogen und bisher über 11,3 Millionen Dollar gespart. Die Zahl 12.000 kommt bekannt vor: So viele VMs hatte auch Anexia von VMware auf KVM migriert (Ausgabe 172).

Dabei steckte Topgolf tief im VMware-Kosmos: seit Jahrzehnten vSphere und ESXi, seit 2017 VxRail, Mitarbeiter in Kundenbeiräten. In etwa sechs Monaten ersetzte das Team 650 VxRail-Hosts durch rund 400 Dell PowerEdge. Die Hardwarekosten seien um 87 % gesunken, die Softwarekosten um 77 %. Der neue Lizenzvertrag läuft fünf statt drei Jahre. Den Ausschlag gab die Mandantenfähigkeit: Die Cluster sind nach Zeitzonen in Tenants getrennt, Labs laufen verschachtelt im selben Cluster.

Ganz rund lief es nicht. Rubrik und LogicMonitor unterstützen VergeOS nicht, für Ransomware-Schutz und Threat Hunting ist Topgolf auf Veeam ausgewichen. Außerdem fiel der Umzug mit neuen Game-Panels, neuer Verkabelung und einer neuen Kubernetes-Architektur zusammen. Welcher Teil der Ersparnis woher kommt, lässt sich von außen nicht trennen.

Die Zahlen stammen von Topgolf, einiges auch aus einer Case Study von VergeIO. Was mich danei stört: Topgolf tauscht einen proprietären Stack gegen den nächsten. Der Kommentar aus dem heise-Forum zu Nutanix (Ausgabe 228) passt auch hier: Ein neuer Anbieter ist nett, solange er Marktanteile braucht. Der Fünfjahresvertrag verschiebt die Frage nur auf später, aber man gewinnt erstmal Zeit und Geld

Topgolf saved over $11.3 million after leaving VMware

---

Wie Platform-Teams ihre Roadmap ohne PM finden

Platform-Teams haben selten einen Product Manager, keine Umsatzzahl und keinen Markt, den sie verlieren können. Arbeit gibt es dort nur, wenn ein Engineer sie erfindet. Sujith Jay Nair beschreibt in seinem Blog, woher die Signale dafür kommen: aus den Systemen, von den Usern, aus der Organisation und aus der Industrie.

Postmortems und die Cloud-Rechnung sind die naheliegenden Quellen. Bei der Rechnung geht er weiter als bis zur Query-Optimierung: Make-or-Buy sei keine einmalige Entscheidung und dürfe regelmäßig neu verhandelt werden. Beim Toil unterscheidet er sauber, ob es um den eigenen oder den der User geht. Das eine verbessert die Kosten, das andere die Developer Experience.

Sein Lieblingssignal sind Overloaded Use-Cases, also Fälle, in denen User die Plattform für etwas zweckentfremden, wofür sie nie gedacht war. Das seien Prototypen, die die User einem schon gebaut haben. Bei Migrationen zählen die Nachzügler: Wer nie umzieht, zeigt, wo das Angebot nur für den Median-User reicht.

Am schwächsten findet Nair die Heuristik, Themen aufzugreifen, die der Chef zweimal pro Woche erwähnt. Je höher in der Hierarchie, desto weiter weg von den Usern. Mehr hält er davon, aus der Verzögerung gegenüber der Industrie Nutzen zu ziehen: Andere zahlen für die Postmortems, man selbst liest sie. Der Scion-Beitrag oben ist so ein Fall.

Wer gerade über eine eigene Plattform nachdenkt, liest vorher besser den IDP-Artikel aus Ausgabe 253, denn nicht jedes kleine Team braucht eine.

A Staff Engineer’s Guide to Inventing Work

---

Das erste Mal OnCall: Fünf Regeln für den ersten Incident

Wer das erste Mal in einem Prio-1-Call sitzt, weiß oft nicht, ob er helfen, zuhören oder lieber unsichtbar werden soll. Karan Nagarajagowda hat im Blog von Uptime Labs fünf Punkte gesammelt, wie Seniors neue Leute durch ihre ersten großen Incidents bringen. Nach eigenen Angaben hat er 14 Jahre lang Major Incidents bei Morgan Stanley, Credit Suisse und Fidelity geleitet.

Der wichtigste Punkt ist für mich der erste: klare, eng gefasste Aufträge. „Hilf mal beim Debuggen“ lähmt. „Prüf die Logs und gleich sie mit dem Startzeitpunkt ab“ macht aus dem nervösen Neuling jemanden, der etwas beiträgt, und jede erledigte Aufgabe stärkt das Selbstvertrauen. Dazu kommt Pairing mit einem Senior, der technische Entscheidungen absichert und vorlebt, wie man unter Druck kommuniziert. Und die Kultur muss konsequent blameless sein. Wer Angst hat, öffentlich korrigiert zu werden, sagt nicht mehr, was er sieht, und genau diese Beobachtungen fehlen dann.

Das Runbook soll laut Nagarajagowda erklären, warum eine Schrittfolge damals funktioniert hat, sonst wird der Responder zum reinen Ausführer. Geübt wird am besten vorher, mit Simulationen, in die absichtlich unvollständige Infos und Kommunikationsdruck eingebaut sind.

Uptime Labs verkauft genau solche Simulationen, das sollte man beim fünften Punkt im Hinterkopf behalten. Inhaltlich passt der Text gut zur Shadowing-Debatte aus Ausgabe 241.

Wie bereitest du neue Kollegen auf ihren ersten echten Incident vor?

Finde selbst die Kombination aus OnCall-Shadow/Begleitung und den hier gezeigten Regeln sehr sinnvoll.

Supporting Your Team’s New Responders

---

AWS Sovereign Cloud im Inselbetrieb

Am Samstag, dem 24. Oktober, zieht AWS in Brandenburg für ein paar Stunden den Stecker. Die AWS European Sovereign Cloud soll dann ohne Anbindung an den AWS Global Network Backbone laufen, der Traffic geht stattdessen über europäische Internet-Provider. Abgeschaltet wird auch das System, über das sonst Betriebsdaten aus der EU heraus und Source-Code-Mirrors sowie Software-Updates hineinfließen. Durchführen sollen die Übung nach eigenen Angaben ausschließlich EU-Residents, und zwar nur mit Hardware und Software der Sovereign Cloud.

Ausfälle soll es keine geben. AWS rechnet nur mit kurzen Verbindungsabbrüchen beim Umschalten, solange sich das Routing anderer Netze anpasst. Wer dort Workloads hat, sollte das trotzdem im Monitoring im Blick behalten. Ziel ist laut AWS belastbares Material für das Cloud Sovereignty Framework der EU-Kommission und die C3A-Kriterien des BSI.

Technisch finde ich die Übung sinnvoll. Ein paar Stunden Inselbetrieb an einem Samstag sagen aber wenig über den Fall, auf den es ankommt: Wochen oder Monate ohne Updates und ohne Kontakt zum Mutterkonzern. Das juristische Problem löst ohnehin kein Netzwerktest. Solange Amazon ein US-Konzern ist, gilt der CLOUD Act, egal wer in Brandenburg die Kabel zieht. Das hatte ich schon beim Umzug der Schufa angemerkt (Ausgabe 237). Seit dem Supreme-Court-Urteil zur FTC (Ausgabe 242) steht die rechtliche Basis für US-Clouds noch wackliger da.

Nach der Übung will AWS Regulatoren und Kunden ein Update schicken. Ob davon etwas öffentlich wird, steht nicht im Post.
Ich schreibe das am Freitagabend und frage mich „Will it blend“? Vielleicht schreib ich vor dem Newsletter Release noch ein Update dazu.

AWS European Sovereign Cloud: Demonstrating an independent operation

---

Rewrite per Agent: Go bei Checkly, Rust bei GitHub

Zwei Erfahrungsberichte zeigen, woran Rewrites per Agent hängen: an einer Testumgebung, die vorher steht und die der Agent nicht anfassen darf.

Bei Checkly hat Claude Code einen Node.js-Daemon in Go neu geschrieben, der rund 92 Millionen Nachrichten am Tag verarbeitet. Zuerst baute das Team eine Black-Box-Testumgebung auf: Golden Files aus dem Altsystem, echte PostgreSQL-Container, Toxiproxy für Netzwerkfehler und Testfälle aus 24 Stunden Produktionskonfiguration. Der Agent lief eine Nacht und lieferte etwa 13.000 Zeilen. Einen ersten Versuch mit Opus hatte das Team verworfen. Beim ersten Deployment scheiterten trotzdem die Retries, weil die lokale Testumgebung 3 Queues kannte, die Produktion aber 18 pro Region. Danach ging der Rollout per Feature-Flag stufenweise von Free über Paid bis Enterprise. Das Ergebnis laut Checkly: keine Incidents, 70 % weniger Pods, 60 % weniger aktive DB-Sessions.

Eine Nummer größer hat Stephen Toub die Copilot-Agent-Runtime von TypeScript nach Rust portiert. Am Ende standen 832.000 Zeilen Rust, eingebracht über 128 Pull Requests, die in rund 14 Wochen in main landeten. Die Kosten gibt er mit etwa $120.000 an Tokens plus rund drei Wochen seiner Arbeitszeit an. Spannend finde ich die Fehleranalyse: Nur 1,7 % der Compilerfehler betrafen Ownership oder Lifetimes. Der Rest war normale Typprüfung, die Go oder C# genauso liefern. Die Regressionen kamen aus Dingen, die kein Compiler sieht. Ein f64 statt einer Integer serialisierte 42 als 42.0 und brach damit die SDKs. Ein Agent reagierte auf einen fehlgeschlagenen Schema-Check, indem er einfach das Label setzte, das den Check aushebelt. Toubs Lehre daraus: das Testorakel vor dem Agenten schützen.

TikTok hat vor nicht allzu langer Zeit nur einzelne Endpoints nach Rust umgeschrieben und wochenlang im Shadow-Mode verglichen (Ausgabe 201). Ein kompletter Rewrite war damals schlicht zu teuer. Heute wird er bezahlbar, wenn die Testsuite wirklich trägt. Hast du schon einen Legacy-Dienst im Kopf, bei dem du das probieren würdest? Ich hab da noch eine alte Symfony App….

We Let AI Agents Rewrite a 92M-Message-a-Day Service in Go. Zero Incidents.

---

Au revoir: Quad9 zieht sich aus Frankreich zurück

Ab dem 24. November beantwortet 9.9.9.9 keine Anfragen mehr aus Frankreich. Die Schweizer Non-Profit-Stiftung hinter dem DNS-Resolver zieht sich zurück. Vorausgegangen ist ein Urteil eines französischen Gerichts zugunsten des Sport-Rechteinhabers beIN: Quad9 soll für französische Nutzer die Auflösung bestimmter Piraterie-Domains blockieren. Das Zwangsgeld hat das Gericht zwar von 580.000 auf 1.000 Euro pro Tag gesenkt, für Quad9 ist es aber eine Grundsatzfrage.

Umsetzen lässt sich das Urteil kaum. Quad9 speichert nach eigenen Angaben keine Nutzerdaten und weiß deshalb gar nicht, wer in Frankreich sitzt. Global zu blocken hieße, französisches Recht der ganzen Welt aufzuzwingen. Und mit GeoIP hat Quad9 schlechte Erfahrungen gemacht: Im Verfahren gegen Sony in Deutschland kam der Kläger per VPN an die gesperrten Inhalte, und das Gericht verhängte ein Ordnungsgeld wegen Nichtbefolgung. Gewonnen hat Quad9 am Ende trotzdem, nach mehreren Jahren und Kosten im sechsstelligen Bereich. In Frankreich sollen rund 20 weitere Verfahren anhängig sein, gegen das beIN-Urteil läuft eine Berufung.

Die Liste der französischen Netze, aus denen Quad9 Traffic sieht, liest sich wie ein Who’s who der Infrastruktur: DINUM, RENATER, EDF, SNCF, France Télévisions, Thales. Wer dort 9.9.9.9 eingetragen hat, sollte jetzt umstellen.

Bewirken wird die Sperre wenig. Wer Fußball streamen will, nimmt einen der Tausenden anderen offenen Resolver oder ein VPN, und die Inhalte bleiben, wo sie sind. Den Schaden haben die Nutzer, denen ein datenschutzfreundlicher Resolver mit Malware-Filter wegfällt. Piraterie muss man bei den Hostern bekämpfen, nicht beim Telefonbuch.

Farewell, France

---

Schmunzelecke

Die Kleinanzeigen KI lässt sich mit etwas Überzeugung überreden, dann doch auch Hello World Code zu liefern (linkedin)

„I let Claude hire its first employee. It chose a rock“ – kann man sich nicht ausdenken – gesehen bei reddit.

Aufgrund eines „Fehlers“ im Google Home Speaker hat der Speaker bis zu 200 GB Daten pro Tag aus dem Netz geladen (ifun.de)

---

💡 Link Tipps aus der Open Source Welt

Angie – nginx-Fork von ehemaligen nginx-Entwicklern als Drop-in Replacement

Angie ist ein Webserver, der von ehemaligen Entwicklern aus dem ursprünglichen nginx-Team geforkt wurde. Bestehende nginx-Konfigurationen und Module funktionieren ohne größere Anpassungen weiter, obendrauf gibt es aber eine ganze Reihe Features, die bei nginx fehlen oder nur in der kommerziellen Plus-Version stecken.

Key Features:

• HTTP/3: Produktionsreif auch Richtung Upstream, nicht nur clientseitig wie bei nginx
• Built-in ACME: Automatische TLS-Zertifikate inklusive Wildcard, DNS Challenge und External Account Binding für kommerzielle CAs
• Docker-Integration: Upstreams werden anhand von Container Labels dynamisch aktualisiert, ohne Reload
• Load Balancing: Echtes response-time-basiertes Balancing, Session Binding und Slow Start auch im Stream-Modul
• Observability: REST API mit JSON-Metriken, Prometheus Export und mit Console Light ein Web-Dashboard
• Persistenter Cache-Index: Der proxy_cache-Index überlebt Restarts, die Cache-Ladezeit entfällt

Geschrieben in C, die umfangreiche Test Suite größtenteils in Perl, lizenziert unter BSD-2-Clause. Pre-built Packages gibt es für viele gängige Distributionen und Third-Party-Module.

Für alle, die bei nginx bleiben wollen, aber Features wie ACME, Prometheus-Metriken oder dynamische Upstreams vermissen, ist Angie eine spannende Option, ohne gleich auf Caddy oder Traefik zu wechseln. Das Projekt ist mit 39 Releases, 65 Contributors und rund 2.600 Stars ausgereift, Security Fixes aus nginx werden zeitnah übernommen. Einordnen sollte man, dass hinter Angie ein kommerzielles Unternehmen mit Sitz in Moskau steht, was je nach Compliance-Anforderungen eine Rolle spielen kann.

https://github.com/webserver-llc/angie

Yuvomi – Self-hosted Familienplaner für Aufgaben, Kalender, Einkauf und Budget

Yuvomi bündelt das, wofür Familien sonst ein Dutzend Apps mit eigenen Abos nutzen: Aufgaben, Kalender, Essensplanung, Einkaufslisten, Budget und Dokumente. Alles läuft als Container auf dem eigenen Homeserver oder NAS. Der Clou ist, dass die Module miteinander verzahnt sind: Der Wochenplan wandert per Klick als sortierte Einkaufsliste raus, und erledigte Aufgaben bringen Punkte für einen Belohnungskatalog. Die Website hat noch weitere Erklärungen und Screenshots.

Key Features:

• 20 Module: Von Aufgaben über Vorrat und Gesundheit bis Budget, nicht benötigte Module lassen sich abschalten
• Kalender-Sync: Zwei-Wege-Sync mit Google, iCloud und Nextcloud über CalDAV, Kontakte via CardDAV
• Wall Mode: Tagesübersicht fürs Tablet an der Küchenwand
• PWA: Installation direkt aus dem Browser, Push Notifications und Offline-Einkaufsliste
• Security: TOTP, OIDC Single Sign-On, Rollenrechte pro Modul und optionale SQLCipher-Verschlüsselung
• API und MCP: Dokumentierte API samt MCP-Endpunkt für eigene Integrationen

Gebaut mit Node.js, Express und SQLite in Vanilla JS ohne Build Step. Läuft per Docker oder Podman auf amd64 und arm64 und ist als App für TrueNAS, Umbrel und Unraid verfügbar.

Yuvomi (vormals Oikos) wirkt wie die erwachsene Version der vor zwei Wochen vorgestellten Cuicuit, nur deutlich breiter aufgestellt: Selbst geteilte Kosten à la Spliit sind schon eingebaut. Mit rund 1.800 Stars und 47 Contributors hat das Projekt eine aktive Community. Fast 900 Releases in sieben Monaten zeugen aber auch von einem enormen Tempo, und gerade beim Gesundheitsmodul sollte man sich gut überlegen, ob man solche Daten einem so jungen Projekt anvertraut.

https://github.com/ulsklyc/yuvomi

❓ Feedback & Newsletter Abo

Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.

Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: