Connect with us

Entwicklung & Code

Burst Statistics: Angriffe auf kritische Lücke im populären WordPress-Plugin


Eine Sicherheitslücke im WordPress-Plugin Burst Statistics ermöglicht Angreifern, sich als Admin auszugeben. Das ermöglicht die komplette Übernahme einer Site. Ein aktualisiertes Plugin steht bereits seit Mitte Mai bereit. Admins sollten prüfen, ob sie das Plugin nutzen und das System nach Aktualisierung auf Einbruchsspuren untersuchen.

Weiterlesen nach der Anzeige

In einem Blog-Beitrag schreiben die IT-Forscher von Wordfence, dass sie bereits seit dem 13. Mai 2026 Angriffe auf die Sicherheitslücke beobachtet haben. Burst Statistics soll „datenschutzfreundliche WordPress-Analysen“ liefern und sieht sich selbst als Alternative zu Google Analytics. Es kommt laut Plugin-Seite auf mehr als 200.000 aktive Installationen.

Die IT-Forscher erörtern, dass die Sicherheitslücke nicht authentifizierten Angreifern aus dem Netz ermöglicht, einen ihnen bekannten Nutzernamen (etwa „Administrator“) zu imitieren und die Site komplett zu übernehmen. Ursache ist die inkorrekte Verarbeitung eines Rückgabewerts in der Funktion is_mainwp_authenticated(). Durch die Angabe eines beliebigen Werts für das Basic-Authentication-Passworts konnten nicht angemeldete Nutzer so ihre Rechte ausweiten und unbefugt zugreifen (CVE-2026-8181, CVSS 9.8, Risiko „kritisch“).

Betroffen sind die Versionen 3.4.0 bis 3.4.1.1 des Plugins, Burst Statistics 3.4.2 oder neuer (zum Meldungszeitpunkt ist Stand 3.4.3 aktuell) schließt die Sicherheitslücke. IT-Verantwortliche sollten zügig auf diesen Stand aktualisieren, wenn das noch nicht geschehen ist.


Flächendiagramm zeigt die Gesamtzahl der Exploit-Anfragen über einen Zeitraum von zwei Wochen.

Flächendiagramm zeigt die Gesamtzahl der Exploit-Anfragen über einen Zeitraum von zwei Wochen.

Wordfence hat tausende Angriffsversuche auf die Schwachstelle in Burst Statistics beobachtet.

(Bild: Wordfence)

Bereits seit dem 13. Mai haben die Wordfence-Analysten Angriffe auf die Sicherheitslücke beobachtet. Die erreichten am 17. Mai mit 20.000 beobachteten Angriffsversuchen auf mit Wordfence-Web-Application-Firewall geschützten WordPress-Instanzen ihren Höhepunkt und fielen bis zum Monatswechsel dann deutlich auf wenige Hundert am Tag ab.

Der verlinkte Wordfence-Blogbeitrag listet einige Anzeichen für erfolgreiche Angriffe (Indicators of Compromise, IOC) auf. IT-Verantwortliche, die – wenn auch nur kurzzeitig – eine verwundbare Fassung von Burst Statistics im Zeitraum ab dem 13. Mai im Einsatz hatten, sollten die Systeme auf eventuelle Einbruchsspuren untersuchen.

Weiterlesen nach der Anzeige

Angriffe auf Lücken in WordPress-Plugins sind häufig zu beobachten. Zuletzt haben bösartige Akteure es etwa Anfang Mai auf eine Schwachstelle im Breeze-Cache-Plugin abgesehen. Nach erfolgreichem Angriff platzierten sie Hintertüren auf den Systemen.


(dmk)



Source link

Entwicklung & Code

Unix-Befehle nativ unter Windows: Microsoft veröffentlicht eigene Coreutils


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Mit den Coreutils for Windows bringt Microsoft eine eigene Sammlung klassischer Unix-Kommandozeilenwerkzeuge nativ für Windows. Das Paket stellt bekannte Befehle wie cat, grep, find oder xargs unter ihren gewohnten Namen bereit. Entwickler sollen damit dieselben Kommandos, Optionen und Shell-Pipelines auf Windows, Linux, macOS, im Windows Subsystem for Linux (WSL) und in Containern nutzen können. Die Software liegt als Vorschauversion vor und lässt sich per WinGet installieren.

Weiterlesen nach der Anzeige

Die Coreutils gehören seit Jahrzehnten zum Standardrepertoire von Linux-Administratoren und Entwicklern. Wer diese Werkzeuge bisher unter Windows mit weitgehend identischem Verhalten nutzen wollte, griff meist zu WSL, Git Bash oder Cygwin. Mit seinen neuen Coreutils integriert Microsoft die Werkzeuge nun direkt ins Betriebssystem und senkt damit die Hürden zwischen den Umgebungen.

Technisch handelt es sich nicht um eine Portierung der GNU Coreutils. Das Projekt baut auf uutils/coreutils auf, einer plattformübergreifenden Neuimplementierung der GNU-Werkzeuge in Rust. Microsoft pflegt dafür einen eigenen Windows-Build, der neben den Coreutils auch die Findutils und ein GNU-kompatibles grep enthält. Bestehende Skripte sollen so ohne Anpassungen zwischen den Plattformen wandern können.

Dass die Wahl auf das Rust-Projekt fiel, ist kein Zufall: Die Sprache spielt seit einigen Jahren eine wachsende Rolle in den Sicherheits- und Infrastrukturprojekten von Microsoft. Das Unternehmen bezeichnet speichersichere Sprachen explizit als Zukunft sicherer Softwareentwicklung und nutzt Rust inzwischen auch bei Windows-Komponenten und der Treiberentwicklung.

Microsoft liefert das Paket als sogenanntes Multi-Call-Binary aus. Die Funktionen zahlreicher Einzelwerkzeuge stecken dabei in einer einzigen Binärdatei, die je nach Aufrufnamen ein anderes Programm ausführt – etwa cat.exe, grep.exe oder find.exe. Das Konzept stammt aus der Unix-Welt und kommt unter anderem auch bei BusyBox zum Einsatz.

Für Entwickler heißt das konkret: Typische Linux-Pipelines laufen künftig direkt unter Windows, zum Beispiel:

Weiterlesen nach der Anzeige


cat access.log | grep 500 | sort | uniq


Ebenso sollen Aufrufe wie


find . -name "*.log"


oder


grep "ERROR" logfile.txt


dasselbe Verhalten zeigen wie unter Linux.

Trotz der Unix-Ausrichtung nimmt Microsoft Rücksicht auf bestehende Windows-Umgebungen. Das Paket enthält Ports der klassischen DOS-Kommandos sort und find, damit ältere CMD-Skripte mit ihrer typischen /switch-Syntax weiterhin laufen. Gerade bei find schwelt seit Jahrzehnten ein Namenskonflikt: Die Unix-Variante durchsucht Verzeichnisbäume, das DOS-Kommando dagegen sucht Zeichenketten in Dateien.

Nicht alle Programme aus dem uutils-Projekt schaffen es in den Windows-Build. Microsoft lässt mehrere Werkzeuge bewusst weg, weil sie auf POSIX-spezifischen Konzepten beruhen, unter Windows wenig Nutzen bringen oder bestehende Skripte stören könnten. Dazu zählen unter anderem chmod, chown, chroot, stty, uname und sync. Auch das häufig genutzte dd fehlt vorerst.

Darüber hinaus weist Microsoft auf Konflikte mit eingebauten Befehlen von CMD und PowerShell hin. Als Mindestvoraussetzung nennt das Unternehmen PowerShell 7.4. Die Coreutils für Windows erscheinen als Open-Source-Software, Details finden sich auf der GitHub-Projektseite.


(fo)



Source link

Weiterlesen

Entwicklung & Code

Microsoft forkt sein eigenes Windows Terminal – für KI


Microsoft hat seinen neuen Intelligent Terminal vorgestellt, einen experimentellen Open-Source-Fork des Windows Terminal. Die Anwendung bindet KI-Agenten direkt in die Terminaloberfläche ein und soll Entwicklern und Administratoren den Wechsel zwischen Shell, Browser und KI-Assistent ersparen. Der Intelligent Terminal läuft als eigenständige Anwendung neben dem regulären Windows Terminal und ersetzt dieses nicht.

Weiterlesen nach der Anzeige

Für Windows gibt es bereits mehrere Terminals. Neben dem klassischen Konsolenfenster und dem moderneren Windows Terminal von Microsoft nutzen viele Entwickler Drittanbieterprogramme wie WezTerm, Hyper, Tabby, ConEmu oder MobaXterm.

Mit dem Aufkommen von KI-Agenten sind zudem neue Terminalprojekte entstanden, die KI-Funktionen direkt in die Oberfläche integrieren. Zu den bekanntesten Vertretern zählt Warp. Microsoft verfolgt mit Intelligent Terminal jedoch einen anderen Ansatz: Statt einen neuen Terminal zu entwickeln, erweitert das Unternehmen das vielen Nutzern bereits vertraute Windows Terminal um Agentenfunktionen. Im Mittelpunkt steht ein andockbarer Bereich namens Agent Pane, der dauerhaft Zugriff auf die laufende Shell-Sitzung hat.

Intelligent Terminal ist nicht auf einen einzelnen KI-Anbieter festgelegt. Die Anwendung unterstützt Agenten, die das Agent Client Protocol (ACP) beherrschen. Standardmäßig kommt die GitHub Copilot CLI zum Einsatz, daneben erkennt die Software laut Dokumentation auch CLI-Agenten auf Basis von Claude, Codex oder Gemini. Den Agenten und das Modell wählen Anwender in den Einstellungen aus.

Eine zentrale Neuerung ist die automatische Fehlererkennung: Schlägt ein Befehl fehl, weist das Terminal sichtbar darauf hin und übergibt dem Agenten den Fehlerkontext. Dieser liefert anschließend Erklärungen oder Lösungsvorschläge.

Die Grundidee ist nicht neu. Schon vor dem Aufkommen generativer KI gab es Werkzeuge, die fehlerhafte Shell-Befehle analysierten und korrigierte Varianten vorschlugen – etwa das verbreitete Kommandozeilen-Tool thefuck. Intelligent Terminal geht jedoch einen Schritt weiter und verknüpft die Fehleranalyse mit einem dialogfähigen Agenten. Statt nur einen korrigierten Befehl auszugeben, beantwortet dieser Rückfragen, erläutert verschiedene Lösungswege und kann Folgeaktionen vorbereiten.

Komplexere Aufgaben laufen bei Bedarf im Hintergrund. Mehrstufige Agentenaufträge lagert Intelligent Terminal in separate Tabs aus, sodass die aktive Shell nutzbar bleibt. Als Einsatzszenarien nennt Microsoft etwa die Analyse umfangreicher Logdateien, die Untersuchung von Build-Fehlern oder das Erstellen von Skripten.

Weiterlesen nach der Anzeige

Damit Nutzer mehrere parallele Agentenaufgaben im Blick behalten, bringt Intelligent Terminal ein eigenes Verwaltungsfenster mit. Dort lassen sich aktive und abgeschlossene Sitzungen einsehen und bei Bedarf wieder aufnehmen. Auch die Befehlspalette (Command Palette) hat Microsoft erweitert: Über ein vorangestelltes Fragezeichen starten Anwender Agentenaufträge direkt aus der Palette heraus, ohne ihre Arbeitsumgebung zu verlassen. Den Kontext der aktiven Shell übergibt das Terminal automatisch.

Für den schnellen Zugriff auf die neuen Funktionen führt Microsoft zudem eine Agenten-Statusleiste ein. Sie bündelt das Agentenfenster, die Fehlererkennung und die Sitzungsverwaltung an einer Stelle.

Beim Datenschutz beschreibt Microsoft Intelligent Terminal als lokale Transportschicht zwischen Terminal und Agentensoftware. Die Anwendung selbst spricht laut Microsoft nicht mit Cloud-Diensten, sondern reicht Eingaben und Shell-Kontext an den gewählten Agenten weiter. Welche Daten dort verarbeitet werden, hängt vom jeweiligen Anbieter ab. Gesprächsverläufe speichert Intelligent Terminal nicht dauerhaft; Telemetrie- und Diagnosedaten kann es jedoch weiterhin an Microsoft übermitteln.

Microsoft bezeichnet Intelligent Terminal ausdrücklich als Experiment. Die Software erscheint als separate Anwendung und läuft parallel zum regulären Windows Terminal. Mit dem Release stellt Microsoft zudem Terminal Chat im Canary-Channel ein. Voraussetzung ist Windows 11 ab Version 22H2. Weitere Details nennt Microsoft in der Ankündigung zu Intelligent Terminal; Quellcode und technische Dokumentation liegen im GitHub-Repository des Projekts. Den Funktionsumfang der ersten Version beschreiben die Release Notes zu Version 0.1.0.


(fo)



Source link

Weiterlesen

Entwicklung & Code

Erstes in Europa: Apple plant Developer Center in Berlin


Apple will noch in diesem Jahr ein erstes Developer Center in Europa eröffnen – und es soll sich in Berlin-Mitte befinden. Das gab der iPhone-Hersteller am Mittwoch, wenige Tage vor Beginn der Entwicklerkonferenz WWDC bekannt. Das neue Zentrum, das vor allem Zwecken der Weiterbildung für App-Entwickler und persönlicher Unterstützung dienen soll, ergänzt die vorhandenen Standorte am Firmen-Stammsitz in Cupertino (USA), im indischen Bengaluru, in Shanghai (China) und Singapur.

Weiterlesen nach der Anzeige

Entwicklerinnen und Entwickler sollen am neuen Standort Zugang zu Tools, Workshops und persönlicher Unterstützung durch Apple erhalten. Das Präsenzangebot ergänzt Apples Online-Angebote für Entwickler. Regelmäßige Präsenzveranstaltungen sollen Entwicklern helfen, ihre Fähigkeiten zu verbessern und das Design, die Qualität und die Leistung ihrer Apps für iOS, iPadOS, macOS, tvOS, visionOS und watchOS zu optimieren. Apple hat seine Aktivitäten in Berlin in jüngster Zeit bereits in anderen Bereichen verstärkt.

Apple kündigte an, dass das Center die Vielfalt und Kreativität der europäischen Entwickler-Gemeinschaft widerspiegeln soll. „Europa ist die Heimat einer außergewöhnlichen Entwickler-Community, die Apps entwickelt und damit Verbindungen schafft, Kreativität fördert und Innovationen vorantreibt“, sagt Susan Prescott, Vice President of Worldwide Developer Relations bei Apple. Für Apple ist Europa allerdings auch ein spezieller Markt, da hier eine besonders starke Regulierung durch die EU-Kommission greift, die auch den App Store betrifft. So muss Apple zum Beispiel aufgrund des Digital Markets Act (DMA) alternative App Stores zulassen.

Apples App-Prämierungen wie der App Store Award und der Design Award zeigen jedes Jahr aufs Neue, welchen hohen Stellenwert europäische Entwickler für das Angebot im App Store haben. Auch beim Nachwuchswettbewerb Swift Student Challenge sind regelmäßig europäische Nachwuchsentwickler vertreten. Mit dem Apple-Foundation-Programm hatte Apple bereits in zahlreichen europäischen Ländern Entwickler unterstützt. Mit dem neuen Developer Center in Berlin wird nun die Landkarte um ein weiteres Angebot erweitert.

Lesen Sie auch


(mki)



Source link

Weiterlesen

Beliebt