Blog

Paperless-ngx Docker Upgrade: von 2.20.15 auf 3.0.4

Paperless-ngx Docker Upgrade: von 2.20.15 auf 3.0.4

Paperless-ngx 3.0 bringt Breaking Changes. Diese Anleitung zeigt das Upgrade einer Docker-Installation, Schritt für Schritt.

Voraussetzung: Ausgangsversion muss 2.20.15 sein. Nur von dort aus ist der Sprung auf 3.0 offiziell unterstützt. Ältere Versionen zuerst auf 2.20.15 bringen.

Was sich in 3.0 ändert

  • Suchindex wechselt von Whoosh zu Tantivy (Rust). Volltextindex muss neu aufgebaut werden, passiert im Docker-Image automatisch beim Start.
  • PAPERLESS_SECRET_KEY ist jetzt Pflicht.
  • PAPERLESS_DBENGINE ist bei PostgreSQL/MariaDB jetzt Pflicht (vorher aus PAPERLESS_DBHOST abgeleitet).
  • Diverse SSL-/Timeout-/Pooling-Variablen der DB entfallen zugunsten von PAPERLESS_DB_OPTIONS.
  • API-Version 1 fällt weg.
  • Dokument-Prüfsummen wechseln auf SHA-256.
  • Datenbankmigrationen sind nicht rückwärtskompatibel. Ohne Backup kein Rollback.

Vollständige Liste: github.com/paperless-ngx/paperless-ngx/releases

Schritt 1: Backup

cd /opt/paperless

docker compose stop

# Datenbank (Beispiel PostgreSQL)
docker compose exec -T db pg_dump -U paperless paperless > /opt/backup/paperless-db-$(date +%F).sql

# Volumes sichern
sudo tar -czf /opt/backup/paperless-data-$(date +%F).tar.gz ./data
sudo tar -czf /opt/backup/paperless-media-$(date +%F).tar.gz ./media

# Compose-Files sichern
cp docker-compose.yml /opt/backup/docker-compose.yml.bak
cp docker-compose.env /opt/backup/docker-compose.env.bak

Alternativ den eingebauten Paperless-Exporter nutzen:

docker compose run --rm webserver document_exporter ../export

Schritt 2: Secret Key setzen

Falls bisher kein PAPERLESS_SECRET_KEY gesetzt war, lief 2.x mit einem eingebauten Default-Key. Für 3.0 wird ein expliziter Key Pflicht.

openssl rand -base64 64

In docker-compose.env oder direkt in docker-compose.yml unter environment eintragen:

YAML Datei
PAPERLESS_SECRET_KEY: "<generierter-wert>"

Wichtig: Wird ein neuer, zufälliger Key gesetzt statt des alten Default-Keys, werden bestehende Sessions und API-Tokens ungültig. Nutzer müssen sich neu anmelden.

Schritt 3: Datenbank-Engine explizit setzen

Nur bei PostgreSQL oder MariaDB nötig, nicht bei SQLite.

YAML Datei

# v2 (PostgreSQL wurde aus PAPERLESS_DBHOST abgeleitet)
PAPERLESS_DBHOST: postgres

# v3 (Engine muss explizit gesetzt sein)
PAPERLESS_DBENGINE: postgresql
PAPERLESS_DBHOST: postgres

Zulässige Werte: postgresql oder mariadb. Bisherige einzelne SSL-/Timeout-/Pooling-Variablen durch PAPERLESS_DB_OPTIONS ersetzen, falls verwendet:

YAML Datei
PAPERLESS_DB_OPTIONS: "sslmode=require,pool.max_size=20"

Alte Variablen funktionieren übergangsweise weiter, loggen aber eine Deprecation-Warnung beim Start.

Schritt 4: Image-Tag auf 3.0.4 setzen

In docker-compose.yml:

YAML Datei
services:
  webserver:
    image: ghcr.io/paperless-ngx/paperless-ngx:2.20.15

ändern zu:

YAML Datei

services:
  webserver:
    image: ghcr.io/paperless-ngx/paperless-ngx:3.0.4

Wer bisher :latest nutzt: :latest zeigt seit Juli 2026 bereits auf 3.x. Für kontrollierte Major-Upgrades empfiehlt sich grundsätzlich ein fester Versions-Tag statt :latest.

Schritt 5: Neues Image ziehen und Container neu erstellen

docker compose pull
docker compose up -d

Der Suchindex-Rebuild (Whoosh → Tantivy) läuft beim ersten Start automatisch im Container. Bei größeren Archiven dauert das spürbar.

Schritt 6: Logs beobachten

docker compose logs -f webserver

Auf Migrationsfehler, fehlende Env-Variablen oder Reindex-Fortschritt achten.

Schritt 7: Verifikation

  • Version in der Weboberfläche prüfen (Systemstatus zeigt 3.0.4).
  • Volltextsuche testen, auch nach Umlauten und mehreren Suchbegriffen (Tantivy verknüpft Begriffe standardmäßig mit OR statt AND wie zuvor Whoosh).
  • Ein Testdokument einscannen/konsumieren lassen, OCR-Ergebnis prüfen.
  • Download und Vorschau eines bestehenden Dokuments prüfen.
  • Login/API-Token testen, falls der Secret Key neu gesetzt wurde.
  • Containerstatus prüfen: docker compose ps.

Rollback

Bei Problemen:

docker compose down

Alten Image-Tag (2.20.15) in docker-compose.yml zurücksetzen, DB-Dump aus Schritt 1 einspielen, data/ und media/ aus dem Backup zurückkopieren, dann:

docker compose up -d

Bekannte Stolperfallen

  • Fehlender PAPERLESS_SECRET_KEY bricht den Start ab.
  • PAPERLESS_DBENGINE vergessen bei PostgreSQL/MariaDB führt zu Verbindungsfehlern.
  • Zusätzliche, verwaiste Container aus älteren Compose-Setups können mit dem neuen Consumer kollidieren.
  • Veraltete Syntax in globalen Dateinamensvorlagen kann nach dem Upgrade Fehler werfen.

Quelle: github.com/paperless-ngx/paperless-ngx/releases

Debian 12 auf 13 Upgrade im Proxmox LXC Container

Debian 12 auf 13 Upgrade im Proxmox LXC Container (Copy & Paste)

Debian 12 Bookworm auf 13 Trixie upgraden, direkt im LXC Container auf Proxmox. Fertiges Script zum Copy & Paste, plus Backup und Verifikation.

Vorher: Snapshot

Vor jedem Major-Upgrade einen Snapshot des Containers erstellen. Einzige einfache Rückfallebene bei Problemen.

pct snapshot <CTID> pre-debian13-upgrade

Das Upgrade-Script

Im Container als root ausführen:

cat <<EOF >/etc/apt/sources.list
deb http://ftp.debian.org/debian trixie main contrib non-free non-free-firmware
deb http://ftp.debian.org/debian trixie-updates main contrib non-free non-free-firmware
deb http://security.debian.org/debian-security trixie-security main contrib non-free non-free-firmware
deb http://ftp.debian.org/debian trixie-backports main contrib non-free non-free-firmware
EOF

apt-get update
DEBIAN_FRONTEND=noninteractive apt-get -o Dpkg::Options::="--force-confold" dist-upgrade -y

# Disable services that break in LXC / containers (harmless if not present)
systemctl disable --now systemd-networkd-wait-online.service || true
systemctl disable --now systemd-networkd.service || true
systemctl disable --now ifupdown-wait-online || true

# Install ifupdown2 (better networking stack for LXC/VMs)
apt-get install -y ifupdown2

# Cleanup
apt-get autoremove --purge -y
apt-get clean

reboot

Was das Script macht

  • Sources.list: ersetzt Bookworm-Quellen durch Trixie-Quellen, inklusive Security und Backports.
  • dist-upgrade: zieht alle Pakete auf Trixie, –force-confold behält bestehende Config-Dateien bei Konflikten.
  • Service-Disables: systemd-networkd-wait-online, systemd-networkd und ifupdown-wait-online können im LXC-Kontext beim Boot hängen bleiben, da sie auf Netzwerk-Hardware warten, die im Container nicht existiert. Deaktivieren verhindert das. || true sorgt dafür, dass das Script nicht abbricht, falls ein Dienst gar nicht installiert ist.
  • ifupdown2: modernerer Networking-Stack, funktioniert zuverlässiger in LXC/VM-Umgebungen als das klassische ifupdown.
  • Cleanup: entfernt nicht mehr benötigte Pakete und den apt-Cache.
  • Reboot: notwendig, damit Kernel-Userspace-Tools, systemd und Netzwerkstack sauber auf Trixie laufen.

Danach: Verifikation

cat /etc/debian_version
lsb_release -a
apt list --upgradable
ip a
systemctl --failed
  • debian_version sollte 13.x zeigen.
  • apt list –upgradable sollte leer sein.
  • ip a prüft, ob die Netzwerkschnittstelle nach dem Reboot korrekt hochgekommen ist.
  • systemctl –failed zeigt fehlgeschlagene Dienste nach dem Upgrade.

Bekannte Stolperfallen

  • Container-Config auf Proxmox-Host prüfen: sehr alte LXC-Templates können mit Trixie inkompatible Cgroup- oder AppArmor-Profile mitbringen.
  • Bei gepinnten Paket-Repos (Docker, PostgreSQL, etc.) müssen deren eigene sources.list-Einträge separat auf trixie umgestellt werden, das Script deckt nur die Debian-Basisquellen ab.
  • Nach dem Upgrade Dienste einzeln prüfen, die auf spezifische Paketversionen angewiesen sind (z. B. PHP, Python, Datenbanken).

Rollback

Bei Problemen: Container stoppen, Snapshot aus dem ersten Schritt zurückspielen.

pct rollback <CTID> pre-debian13-upgrade

Paperless-ngx Upgrade: von 2.20.15 auf 3.0.4 (Debian-VM auf Proxmox)

Paperless-ngx Upgrade: von 2.20.15 auf 3.0.4 (Debian-VM auf Proxmox)

Paperless-ngx 3.0 bringt Breaking Changes. Diese Anleitung zeigt das Bare-Metal-Upgrade auf einer Debian-VM unter Proxmox, Schritt für Schritt.

Voraussetzung: Ausgangsversion muss 2.20.15 sein. Nur von dort aus ist der Sprung auf 3.0 offiziell unterstützt. Ältere Versionen zuerst auf 2.20.15 bringen.

Was sich in 3.0 ändert

  • Suchindex wechselt von Whoosh zu Tantivy (Rust). Volltextindex muss neu aufgebaut werden.
  • PAPERLESS_SECRET_KEY ist jetzt Pflicht.
  • PAPERLESS_DBENGINE ist bei PostgreSQL/MariaDB jetzt Pflicht (vorher aus PAPERLESS_DBHOST abgeleitet).
  • Diverse SSL-/Timeout-/Pooling-Variablen der DB entfallen zugunsten von PAPERLESS_DB_OPTIONS.
  • API-Version 1 fällt weg.
  • Dokument-Prüfsummen wechseln auf SHA-256.
  • Consumer-/OCR-Variablen teils umbenannt, OCR_MODE=skip-Verhalten ändert sich.
  • Datenbankmigrationen sind nicht rückwärtskompatibel. Ohne Backup kein Rollback.

Schritt 1: Snapshot der Proxmox-VM

Vor allem anderen: VM-Snapshot in Proxmox erstellen. Das ist der schnellste Rollback-Weg, unabhängig vom Applikations-Backup. Backup wichtig! Es kann immer was schief laufen!

qm snapshot <VMID> pre-paperless-3-0-4

Schritt 2: Anwendungs-Backup

Zusätzlich zum Snapshot ein Paperless-eigenes Backup, da die DB-Migration nicht reversibel ist.

sudo systemctl stop paperless-webserver paperless-consumer paperless-scheduler paperless-task-queue

# Datenbank (Beispiel PostgreSQL)
sudo -u postgres pg_dump paperless > /opt/backup/paperless-db-$(date +%F).sql

# Daten- und Medienverzeichnisse
sudo tar -czf /opt/backup/paperless-media-$(date +%F).tar.gz /opt/paperless/media
sudo tar -czf /opt/backup/paperless-data-$(date +%F).tar.gz /opt/paperless/data

# Konfiguration
sudo cp /opt/paperless/paperless.conf /opt/backup/paperless.conf.bak

Bei SQLite genügt eine Kopie der .sqlite3-Datei aus dem Datenverzeichnis.

Schritt 3: Version prüfen

cd /opt/paperless
sudo -Hu paperless git describe --tags

Muss v2.20.15 zeigen. Falls nicht: erst dorthin updaten, dann weiter.

Schritt 4: Secret Key sichern/setzen

Falls bisher kein PAPERLESS_SECRET_KEY gesetzt war, lief 2.x mit einem eingebauten Default-Key. Für 3.0 wird ein expliziter Key Pflicht.

python3 -c "import secrets; print(secrets.token_urlsafe(64))"

Wert in paperless.conf eintragen:

ini
PAPERLESS_SECRET_KEY=<generierter-wert>

Wichtig: Wird ein neuer, zufälliger Key gesetzt statt des alten Default-Keys, werden bestehende Sessions und API-Tokens ungültig. Nutzer müssen sich neu anmelden.

Schritt 5: Datenbank-Engine explizit setzen

Nur bei PostgreSQL oder MariaDB nötig, nicht bei SQLite.

ini
PAPERLESS_DBENGINE=postgresql
PAPERLESS_DBHOST=postgres

Zulässige Werte: postgresql oder mariadb. Bisherige einzelne SSL-/Timeout-/Pooling-Variablen durch PAPERLESS_DB_OPTIONS ersetzen, falls verwendet, z. B.:

ini
PAPERLESS_DB_OPTIONS=sslmode=require,pool.max_size=20

Alte Variablen funktionieren übergangsweise weiter, loggen aber eine Deprecation-Warnung beim Start.

Schritt 6: Systemabhängigkeiten aktualisieren

bash
sudo apt update
sudo apt install --only-upgrade python3 python3-pip python3-dev imagemagick fonts-liberation \
  gnupg libpq-dev default-libmysqlclient-dev pkg-config libmagic-dev mime-support \
  libzbar0 poppler-utils unpaper ghostscript icc-profiles-free qpdf liblept5 \
  libxml2 pngquant zlib1g tesseract-ocr

Ergänzend benötigte OCR-Sprachpakete (tesseract-ocr-deu etc.) prüfen, falls sich Sprachvorgaben geändert haben.

Schritt 7: Dienste stoppen

Falls Schritt 2 nicht schon erledigt:

sudo systemctl stop paperless-webserver paperless-consumer paperless-scheduler paperless-task-queue

Schritt 8: Quellcode auf 3.0.4 bringen

cd /opt/paperless
sudo -Hu paperless git fetch --all --tags
sudo -Hu paperless git checkout tags/v3.0.4

Schritt 9: Python-Abhängigkeiten aktualisieren

Venv aktivieren und Requirements neu installieren:

sudo -Hu paperless bash -c '
  source /opt/paperless/venv/bin/activate
  pip install --upgrade pip
  pip install -r requirements.txt
'

Danach die installierten Pakete gegen die neue requirements.txt abgleichen und nicht mehr benötigte Pakete entfernen, um Konflikte zu vermeiden.

Schritt 10: Datenbankmigration

cd /opt/paperless/src
sudo -Hu paperless ../venv/bin/python3 manage.py migrate

Schritt 11: Statische Dateien und Suchindex

sudo -Hu paperless ../venv/bin/python3 manage.py collectstatic --clear --no-input
sudo -Hu paperless ../venv/bin/python3 manage.py document_index reindex --if-needed

Der --if-needed-Flag prüft Schema-Version und Sprach-Sentinels und baut den Tantivy-Index nur neu, wenn nötig. Bei größeren Archiven (mehrere zehntausend Dokumente) dauert das spürbar; Fortschritt im Log beobachten.

Schritt 12: Dienste starten

sudo systemctl start paperless-webserver paperless-consumer paperless-scheduler paperless-task-queue
sudo systemctl status paperless-webserver

Schritt 13: Verifikation

  • Version in der Weboberfläche prüfen (Systemstatus zeigt 3.0.4).
  • Volltextsuche testen, auch nach Umlauten und mehreren Suchbegriffen (Tantivy verknüpft Begriffe standardmäßig mit OR statt AND wie zuvor Whoosh).
  • Ein Testdokument einscannen/konsumieren lassen, OCR-Ergebnis prüfen.
  • Download und Vorschau eines bestehenden Dokuments prüfen.
  • Login/API-Token testen, falls der Secret Key neu gesetzt wurde.
  • Log auf Fehler prüfen: journalctl -u paperless-webserver -n 200.

Rollback

Bei Problemen: Dienste stoppen, VM-Snapshot aus Schritt 1 zurückspielen. Alternativ Git-Checkout auf v2.20.15, DB-Dump aus Schritt 2 einspielen, altes paperless.conf zurückkopieren, Venv-Requirements der 2.20.15 neu installieren.

Bekannte Stolperfallen

  • Fehlender PAPERLESS_SECRET_KEY bricht den Start ab.
  • PAPERLESS_DBENGINE vergessen bei PostgreSQL/MariaDB führt zu Verbindungsfehlern.
  • Veraltete Syntax in globalen Dateinamensvorlagen kann nach dem Upgrade Fehler werfen.
  • Zusätzliche, nicht mehr benötigte Container/Prozesse aus älteren Setups können mit dem neuen Consumer kollidieren.

PatchMon v2.1.1 – v2.1.3: Fixes für SSO, Webhooks & Compliance

,

PatchMon v2.1.1 bis v2.1.3: Maintenance-Releases bringen Bugfixes für SSO, Webhooks und Compliance

Direkt im Anschluss an das große v2.1.0-Release hat das Entwicklerteam von PatchMon mit den Versionen v2.1.1, v2.1.2 und v2.1.3 drei schnelle Bugfix-Updates veröffentlicht. Während das Hauptrelease v2.1.0 massive Architektur- und Performance-Änderungen mit sich brachte, kümmern sich die Point-Releases um die Beseitigung von Unschärfen bei Single Sign-On (SSO), Benachrichtigungen und der Compliance-Infrastruktur.

Die beste Nachricht für Betreiber: Bei allen drei Versionen handelt es sich um reine In-Place-Updates. Es sind keine Änderungen an der docker-compose.yml und keine manuellen Updates der Agents erforderlich.

Die zentralen Verbesserungen in den Updates

1. SSO-Stabilisierung für ADFS und Microsoft Entra ID

Beim OIDC-basierten Single Sign-On kam es bei spezifischen Anbietern zu Login-Abbrüchen:

  • Microsoft ADFS: ADFS übermittelt Einzelwerte in Claims (wie E-Mails) häufig als JSON-Array. PatchMon akzeptierte bisher nur Strings und brach den Login ab. Dies wurde korrigiert.
  • Microsoft Entra ID (Azure AD): Da Entra ID standardmäßig keinen email_verified-Claim mitsendet, schlug die Auto-Erstellung von Accounts fehl. PatchMon wertet nun das Microsoft-Signal xms_edov (Email Domain Owner Verified) aus, was das Setup ohne Sicherheitskompromisse ermöglicht.

2. Webhooks für Mattermost & Rocket.Chat

Webhooks an Plattformen wie Mattermost oder Rocket.Chat quittierte der Server bisher mit einem HTTP 400 Error. PatchMon erkennt diese Endpunkte ab v2.1.3 automatisch anhand des /hooks/-Pfads in der URL und passt das Payload-Format an. Generische Webhooks wurden zudem um ein Top-Level-text-Feld ergänzt, um out-of-the-box mit Slack-kompatiblen Ingest-Servern zu harmonieren.

3. Compliance-Fixes für Proxmox LXC

Bei Instanzen außerhalb des offiziellen Docker-Containers (insbesondere bei der Nutzung des populären Proxmox LXC-Installationsskripts) meldete die Plattform fälschlicherweise leere Verzeichnisse für Compliance-Regelwerke und antwortete mit einem HTTP 503. Ab v2.1.3 werden die Versionsdaten direkt aus den Datastreams gelesen, sodass die Auswertung auf LXC-Containern wieder reibungslos funktioniert.

4. Beseitigung des „Stale“-Status bei Laptops

Clients, die in den Energiesparmodus versetzt wurden (z. B. Notebooks im Feierabend), wurden vom Server nach dem Aufwachen tagelang als inaktiv/veraltet („stale“) geführt. Der Server prüft nun beim Reconnect des Agents, ob das Update-Intervall überschritten wurde, und fordert im Bedarfsfall sofort einen frischen Statusbericht an.

5. Wiederherstellung der Supply-Chain-Attestierung

Aufgrund eines Fehlers im Build-Prozess wurden die Releases v2.1.0, v2.1.1 und v2.1.2 ohne SHA256-Prüfsummen, SBOMs (Software Bill of Materials) und Provenance-Attestierungen ausgeliefert. Mit Version v2.1.3 sind sämtliche Signatur- und Lieferketten-Sicherheitsdateien wieder regulär in den GitHub-Downloads enthalten.

Fazit & Update-Empfehlung

Die Point-Releases v2.1.1 bis v2.1.3 unterstreichen das hohe Tempo, mit dem das PatchMon-Projekt Kinderkrankheiten nach großen Versionssprüngen behebt. Allen Betreibern von v2.1.0 wird ein zügiges Update auf v2.1.3 empfohlen, um von den SSO- und Alerting-Fixes zu profitieren.

Offizielle Release-Übersicht: GitHub PatchMon Releases

PatchMon v2.1.0: Neues Release bringt massives Performance-Tuning

PatchMon 2.1.0

PatchMon v2.1.0 veröffentlicht: Performance-Explosion, neue Agent-Timeline und gehärtete Security

Das Entwicklerteam hinter dem Open-Source-Patch-Management-Tool PatchMon hat die Version v2.1.0 freigegeben. Das Release legt den Fokus primär auf Skalierbarkeit, Zuverlässigkeit bei großen Serverflotten (1.000+ Hosts) und eine grundlegende Überarbeitung der Agent-Kommunikation sowie der Sicherheitsarchitektur.

🛠️ Achtung beim Upgrade: Manuelle Anpassung der docker-compose.yml

Da PatchMon die eigene docker-compose.yml nicht automatisch überschreibt, müssen Betreiber vor dem Ausführen von docker compose pull && docker compose up -d drei Zeilen manuell anpassen:

  1. Server-Port-Mapping: - "${PORT:-3000}:${PORT:-3000}" (bisher: "3000:3000")

  2. Server-Hostname: hostname: patchmon-server (neu hinzufügen)

  3. Guacd-Image-Tag: image: guacamole/guacd:1.6.0 (bisher: :latest)

Hinweis zur Datenbank-Migration: Beim ersten Start nach dem Update führen große Host-Flotten Index-Rebuilds durch. Auf langsamen Datenträgern kann der Bootvorgang einige Minuten dauern, in denen PatchMon keine Anfragen entgegennimmt.

Die wichtigsten Neuerungen in PatchMon v2.1.0

1. Extrem reduzierte Network-Payloads (2 MB ➔ 1 KB)

Bisher übermittelten Agents bei jedem Check-in den kompletten Inventarbestand. Ab v2.1.0 senden aktualisierte Agents nur noch deltabasierte Änderungen. Der Datenverkehr pro Routine-Check-in sinkt dadurch von 2 MB auf ca. 1 KB. Zur Nachverfolgung ersetzt die neue Agent Activity Timeline die alten Tabs für Paketberichte und Warteschlangen.

2. Präzisere Host-Zustände und Live-Uptime

Das Dashboard trennt den Systemstatus nun in vier eindeutige Indikatoren:

  • Connection: Verbindung zum Server (reagiert nun innerhalb von Sekunden via WSS).

  • Reporting: Frische der übermittelten Daten.

  • Reboot Pending: Ausstehender Systemneustart.

  • Updates: Ausstehende Sicherheitspatches oder normale Updates.

Zudem wurde der Zustand Awaiting Data eingeführt: Hosts ohne Paketdaten verfälschen nicht mehr die Kategorie „Up to date“.

3. Zuverlässige Patch-Ausführung (Keine Hänger mehr)

Stalled Patch-Runs gehören der Vergangenheit an. Über den neuen Umgebungsparameter PATCH_RUN_STALL_TIMEOUT_MIN (Standard: 30 Minuten) werden blockierte Updates automatisch beendet. Der Button Stop Run bricht den Prozess nun auch dann garantiert ab, wenn der Agent offline ist oder blockierte Child-Prozesse im Hintergrund hängen.

4. Umfassende Fixes für Windows & Linux-Paketmanager

  • Windows Registry-Fix: Ein einziges Null-Byte-Zeichen in der Registrierung (oft erzeugt durch Drittanbieter-Agents wie MeshCentral) führte bisher dazu, dass der gesamte Bericht verworfen wurde. Dies wurde gefixt.

  • Linux/BSD-Anpassungen:

    • RHEL/Fedora/Rocky: Korrekte Handling von DNF-Bannern, Erfassung von RLSA-Sicherheitsmeldungen.

    • Debian/Ubuntu: Volle Unterstützung für deb822-Sources und korrekte Handhabung von Kernel-Meta-Paketen.

    • Arch/Manjaro: Funktionsfähig ohne installiertes pacman-contrib.

    • LXC-Container: Uptime zeigt nun die echte Container-Laufzeit anstelle der Laufzeit des Proxmox-Hosts.

5. Sicherheits-Härtung (Security & SSO)

  • IP-Spoofing-Schutz: Über TRUSTED_PROXY_RANGES lässt sich festlegen, welchen Upstream-Reverse-Proxies (z. B. Cloudflare hinter Nginx Proxy Manager) vertraut wird, um echte Client-IPs für Rate-Limiting und Lockouts auszuwerten.

  • Session-Binding & Revocation: Ausgestellte Tokens sind strikt an Sitzungen gebunden. Das Abmelden, Ändern von Passwörtern oder Deaktivieren von Konten greift ab sofort unverzüglich.

  • E-Mail / SMTP: Explizite Auswahlmöglichkeiten für TLS (STARTTLS, SSL/TLS, None, Auto) verhindern das ungesicherte Versenden von Benachrichtigungen über fehlerhafte Relays.

Neue Umgebungsvariablen (.env)

Variable Standardwert Zweck
TRUSTED_PROXY_RANGES (leer) CIDRs für verkettete Reverse Proxies zur echten IP-Ermittlung
PATCH_RUN_STALL_TIMEOUT_MIN 30 Minuten bis ein hängender Patch-Run als abgebrochen markiert wird
AGENT_REPORTS_RETENTION_DAYS 30 Aufbewahrungsdauer der Agent-Activity-Historie (7–365 Tage)
SESSION_INACTIVITY_TIMEOUT_MINUTES (inaktiv) Automatischer Logout bei Inaktivität (0 = deaktiviert)

Fazit

Mit dem Update auf v2.1.0 beweist das PatchMon-Team rund um Lead-Entwickler Iby, dass die Software reif für den anspruchsvollen Enterprise-Einsatz ist. Wer eine performante On-Premise-Alternative zu kommerziellen Patch-Management-Lösungen sucht, sollte das Update zeitnah einspielen.

Offizielle Release-Notes & Discussion: GitHub PatchMon Tag v2.1.0

CVE-2026-8933: Root-Lücke in Ubuntu durch snap-confine

Local Privilege Escalation in Ubuntu: CVE-2026-8933 bedroht snap-confine

Das Sicherheitsteam von Qualys hat eine weitere gravierende Schwachstelle in einer zentralen Komponente gängiger Linux-Distributionen analysiert. Unter der Kennung CVE-2026-8933 führt ein Logikfehler in snap-confine dem Unterbau des Paketmanagers Snap zu einer lokalen Rechteausweitung (Local Privilege Escalation, LPE). Da Snap auf modernen Ubuntu-Systemen standardmäßig installiert ist, ist das Schadpotenzial für Multi-User-Systeme und Cloud-Instanzen hoch.

Wie die Schwachstelle in snap-confine funktioniert

snap-confine ist eine hochprivilegierte SUID-Binärdatei (root), die beim Start eines Snap-Pakets aufgerufen wird. Seine Aufgabe ist es, eine isolierte Sicherheits-Sandbox (unter Nutzung von AppArmor, Cgroups und Mount-Namespaces) aufzubauen.

Die Forschenden von Qualys entdeckten eine Schwachstelle bei der Abfolge, in der snap-confine Dateisystem-Pfade prüft und Mounts innerhalb des temporären Namespaces durchführt. Durch gezieltes Timing und das Platzieren präparierter symbolischer Links (Symlinks) im Benutzerverzeichnis kann ein lokaler Angreifer die Sicherheitsprüfungen umgehen. Dies ermöglicht das Einschleusen und Ausführen von eigenem Code im Kontext des Root-Benutzers.

Wer ist von CVE-2026-8933 betroffen?

  • Ubuntu Desktop & Server: Alle unterstützten Releases, bei denen das Paket snapd nicht auf dem neuesten Stand ist.

  • Derivate: Linux-Distributionen, die snapd aus den offiziellen Repositories verwenden und SUID-Rechte für snap-confine vergeben.

Empfohlene Maßnahmen für Administratoren

1. Schnelles Update über den Paketmanager

Canonical hat das Problem analysiert und korrigierte Pakete für alle unterstützen Ubuntu-Versionen veröffentlicht. Das Update kann direkt über apt eingespielt werden:

Bash

sudo apt update
sudo apt install --only-upgrade snapd

Anschließend lässt sich die installierte Version überprüfen, um sicherzustellen, dass die geflickte Variante von snapd aktiv ist.

2. Überwachung lokaler Benutzeraktivitäten

Da es sich um eine LPE-Lücke handelt, ist ein bereits vorhandener lokaler Systemzugriff Voraussetzung. Administratoren sollten Logfiles (wie /var/log/auth.log oder Auditd-Protokolle) auf ungewöhnliche Aufrufe von snap-confine oder verdächtige Manipulationen im Verzeichnis /tmp prüfen.

Bedeutung für die Praxis

Schwachstellen in SUID-Helferprogrammen wie snap-confine zeigen erneut, wie komplex das Zusammenspiel von Sandbox-Infrastrukturen und Linux-Berechtigungen ist. Für IT-Abteilungen unterstreicht der Vorfall die Notwendigkeit von automatisierten Patch-Management-Prozessen auf allen Ebenen der Server-Infrastruktur.

Quelle: Qualys Threat Research Blog – CVE-2026-8933

Cyberangriff auf Nextcloud: Technische Details & PR-Kritik

Cyberangriff auf Nextcloud: Wie ungeschickte Kommunikation das Vertrauen gefährdet

Der Open-Source-Cloud-Spezialist Nextcloud steht nach einem Sicherheitsvorfall in der Kritik. Obwohl der eigentliche Cyberangriff auf die Infrastruktur des Unternehmens glimpflich ausging und nach aktuellem Kenntnisstand weder Kundendaten noch der Kern-Quellcode der Software manipuliert wurden, sorgt das Krisenmanagement des Anbieters für erhebliche Unruhe in der IT-Community.

Zugriff auf private Entwickler-Infrastruktur

Der Angreifer nutzte kompromittierte Zugangsdaten, um Zugriff auf ein privates, internes Entwicklungs-Repository von Nextcloud zu erlangen. Das Unternehmen leitete nach dem Bemerken des unbefugten Zugriffs umgehend technische Gegenmaßnahmen ein: Die betroffenen Zugänge wurden gesperrt, Passwörter zurückgesetzt und die Server-Infrastruktur eingehend forensisch untersucht.

Die wichtigste technische Entwarnung für Administratoren und Betreiber von Nextcloud-Instanzen:

  • Der öffentliche Quellcode von Nextcloud blieb unberührt.

  • Es wurden keine Backdoors oder schädliche Modifikationen in bestehende Releases eingeschleust.

  • Ein Zugriff auf Daten von Endnutzern oder Cloud-Kunden fand nicht statt.

Das PR-Desaster nach dem Angriff

Während das technische Sicherheitsteam adäquat reagierte, leistete sich die PR-Abteilung von Nextcloud schwere Schnitzer. Auf erste Anfragen von IT-Sicherheitsforschern und Fachmedien wie heise online reagierte das Unternehmen ausweichend und spielte das Ausmaß des Zugriffs herunter. In ersten Stellungnahmen war die Rede von bloßen „Auffälligkeiten“ oder internen Tests.

Erst als unwiderlegbare Belege über den erfolgten Datenabfluss aus dem privaten Repository vorlagen, korrigierte Nextcloud seine Berichterstattung schrittweise und räumte den Vorfall transparent ein.

Fazit: Transparenz als Pflicht in der Open-Source-Welt

Der Vorfall unterstreicht eine zentrale Lektion des modernen IT-Sicherheitsmanagements: Ein funktionierender Incident-Response-Plan muss zwingend eine ehrliche und direkte Krisenkommunikation beinhalten. Insbesondere im Open-Source-Sektor, wo das Vertrauen der Anwender und Administratoren das Fundament des gesamten Ökosystems bildet, führt Taktieren bei Sicherheitsvorfällen zu unnötigem Reputationsschaden.

Quelle: https://help.nextcloud.com/t/nextcloud-com-offline/247123/18

Tails 7.10: Anonymes Linux mit neuem Shutdown und Videoplayer

Tails 7.10 Release: Anonymisierendes Linux erhält neuen Shutdown und Videoplayer

Für Nutzer mit extremen Anforderungen an die Privatsphäre und IT-Sicherheit ist Tails (The Amnesic Incognito Live System) seit Jahren der Goldstandard. Das System hinterlässt keine Spuren auf dem Host-Computer und leitet jeglichen Datenverkehr zwingend über das Tor-Netzwerk. Das aktuelle Release Tails 7.10 bringt zwei tiefgreifende funktionale Änderungen mit sich, die den Schutz vor physischen und digitalen Angriffen noch einmal drastisch erhöhen.

Der neue Shutdown-Prozess: Amnesia in Perfektion

Die wichtigste Eigenschaft von Tails ist seine „Amnesie“. Sobald das System heruntergefahren wird – oder der USB-Stick im Notfall einfach aus dem Rechner gezogen wird –, löscht Tails den gesamten Arbeitsspeicher (RAM). Dadurch wird sichergestellt, dass Angreifer keine kryptografischen Schlüssel oder Fragmente von Dokumenten durch sogenannte Cold Boot Attacks rekonstruieren können.

Mit Version 7.10 wurde dieser Shutdown-Prozess grundlegend neu geschrieben. Das System geht nun wesentlich aggressiver und schneller beim Überschreiben des Arbeitsspeichers vor. Zudem wurden Kompatibilitätsprobleme mit modernen UEFI-Systemen und spezifischen RAM-Architekturen behoben, bei denen der Löschvorgang in der Vergangenheit ins Stocken geraten konnte. Ein schnellerer Shutdown bedeutet in kritischen Situationen schlichtweg mehr physische Sicherheit für den Anwender.

Neuer Videoplayer schützt vor Media-Exploits

Eine oft unterschätzte Gefahr für die Anonymität stellen präparierte Mediendateien (wie MP4- oder MKV-Videos) dar. Angreifer verstecken regelmäßig Schadcode in Videos, der Pufferüberläufe in schlecht isolierten Playern provoziert.

Tails 7.10 reagiert auf diese Bedrohungslage mit der Integration eines neuen Videoplayers. Der Fokus liegt hierbei auf einer strengen Isolierung (Sandboxing) und der Reduzierung der Angriffsfläche. Der neue Player kann zwar problemlos offline Videos abspielen, wird aber durch strikte Systemrichtlinien daran gehindert, Netzwerkverbindungen aufzubauen. Selbst wenn ein Video einen Zero-Day-Exploit enthalten sollte, ist es dem Angreifer dadurch nahezu unmöglich, die echte IP-Adresse des Nutzers nach außen zu funken (IP Leak).

Aktualisierte Kernkomponenten

Neben diesen funktionalen Meilensteinen enthält Tails 7.10 routinemäßige, aber essenzielle Security-Updates. Der integrierte Tor Browser wurde auf die neueste Basis gehoben und auch der E-Mail-Client Thunderbird profitierte von wichtigen Sicherheitspatches.

Fazit: Pflicht-Update für sensible Einsätze

Das Tails 7.10 Update zeigt, dass die Entwickler nicht nur Software aktualisieren, sondern die konzeptionelle Sicherheit des Live-Systems konsequent weiterdenken. Wer auf Anonymität angewiesen ist, sollte seinen USB-Stick schnellstmöglich über die integrierte Update-Funktion auf den neuesten Stand bringen.

Download: https://tails.net/install/download/index.en.html

FRANZFON v1.1.0: Selbstgehostete Personalakte & VoIP-Fixes

Franzfon

FRANZFON v1.1.0 veröffentlicht: Integrierte Personalverwaltung und selbstheilende VoIP-Leitungen

Das deutsche Softwareprojekt FRANZFON hat am 17. Juli 2026 die Version 1.1.0 seiner selbst gehosteten Telefonanlage freigegeben. Während die Plattform bisher primär darauf spezialisiert war, die funktionalen Lücken der FRITZ!Box im geschäftlichen VoIP-Alltag zu schließen, markiert dieses Release einen echten Wendepunkt in der Produktstrategie. Mit der Einführung digitaler Personalakten wächst FRANZFON über die Telekommunikation hinaus und mutiert zum ganzheitlichen Betriebswerkzeug für KMUs, Kanzleien und Praxen.

Der neue Startbereich: Modularität zieht ein

Wer sich nach dem Update in der Weboberfläche anmeldet, landet nicht mehr standardmäßig im klassischen TK-Dashboard, sondern auf einem neu strukturierten Startbildschirm. Das System steuert die Ansicht intelligent über das zugewiesene Benutzermodell: Besitzt ein Mitarbeiter nur Zugriff auf ein einziges Modul, wird der Startbereich übersprungen. Administratoren und HR-Manager sehen hingegen eine Kachel-Übersicht, aufgeteilt in:

  • Telefonanlage: Die gewohnte, unveränderte Administration der Telefonie-Infrastruktur.

  • Mein Bereich: Der persönliche Workspace für Mitarbeiter (eingeführt im letzten Release).

  • Personal: Das Herzstück des neuen v1.1.0 Updates.

Ein Blick auf die inaktiven Kacheln verrät zudem die Roadmap der Entwickler: Die Module für Urlaub, Zeiterfassung und Schichtplan sind bereits visuell implementiert und dienen als Vorschau auf kommende Funktionserweiterungen.

Die digitale Personalakte auf dem eigenen Server

Mit der neuen Personalverwaltung können sensible Mitarbeiterdaten vollständig digitalisiert und lokal gespeichert werden – ein massiver Pluspunkt für die DSGVO-Konformität, da keine Drittanbieter-Cloud involviert ist. Eine Personalakte in FRANZFON v1.1.0 umfasst:

  • Persönliche Daten: Personalnummer, Geburtsdatum, Staatsangehörigkeit sowie private Notfallkontakte.

  • Beschäftigungsverhältnis: Position, Abteilung, zugewiesene Vorgesetzte, Ein- und Austrittsdaten sowie die wöchentliche Sollarbeitszeit.

  • Lohn & Steuer: Hinterlegung von IBAN, Steuer-ID, Steuerklasse, Krankenkasse und Sozialversicherungsnummer.

  • Schwerbehinderung: Erfassung der rechtlich relevanten Mindestangaben zur korrekten Berechnung von Kündigungsschutz und Zusatzurlaub.

Sicherheit und Protokollierung: Die Bearbeitung ist Administratoren oder Benutzern mit der Rolle „Personal“ vorbehalten. Mitarbeiter dürfen ihre eigene Akte jederzeit im Lesemodus einsehen. Zum Schutz vor unbefugten Zugriffen und zur Erfüllung von Compliance-Vorgaben wird jeder Lese- und Schreibzugriff im Hintergrund revisionssicher protokolliert. Ein automatischer Löschschutz markiert fällige Akten nach Ablauf von Fristen lediglich, anstatt Daten eigenmächtig zu vernichten.

Technische Highlights: Das Ende „stummer“ Leitungsausfälle

Ein gefürchtetes Szenario im VoIP-Alltag ist die verwaiste Verbindung: Die Telefonanlage signalisiert eine vermeintlich fehlerfreie, grüne Verbindung zur FRITZ!Box, im Hintergrund ist der SIP-Trunk jedoch abgebrochen. Eingehende Anrufe laufen ins Leere, ohne dass der Betrieb es merkt.

FRANZFON v1.1.0 schafft hier Abhilfe durch eine selbstheilende Verbindungsprüfung. Ein regelmäßiger, absolut stiller Selbsttest überprüft die Leitung im Hintergrund. Wird eine hängengebliebene Verbindung erkannt, baut die Anlage sie vollautomatisch und transparent wieder auf – ohne Einträge in der Anrufliste oder Signalgeräusche an den Endgeräten.

Bugfixes und Optimierungen aus der Praxis

1. Voller DECT-Support

DECT-Mobilteile werden nun unter der Sektion „Telefone“ endlich als eigenständige Endgeräte mit dedizierter Durchwahl und exaktem Online-Status aufgeführt. Zudem wurde ein schwerwiegender Bug bei Yealink-Mobilteilen (z. B. an einer W70B-Basis) behoben, bei dem die Signalisierung des Klingelzeichens zu einem sofortigen Verbindungsabbruch führte.

2. HD-Codec schlägt Hardware-Rauschen

Aufgrund eines Firmware-Fehlers neigten bestimmte Yealink-Tischtelefone beim Betrieb an Software-TK-Anlagen zu einem dauerhaften Hintergrundrauschen. FRANZFON erzwingt bei der provisionierten Einrichtung dieser Geräte nun den HD-Sprachcodec. Dies eliminiert das Rauschen vollständig und sorgt für eine verbesserte interne Sprachqualität.

3. Klartext bei der FRITZ!Box-Benennung

Wird die Telefonanlage hinter einem kaskadierten Router-Setup betrieben und ein eigener Hostname statt der Standardadresse fritz.box verwendet, quittierte das System Verbindungsfehler bisher mit einem kryptischen „Ursache unbekannt“. Die neue Version gibt nun eine präzise Fehlermeldung aus und schlägt die direkte IP-Eingabe vor.

Update-Hinweise für Administratoren

  • Backup-Pflicht: Vor dem Anstoßen des Updates in der Weboberfläche sollte die FRANZFON-VM zwingend gesichert werden (in Proxmox VE via Snapshot, in Hyper-V via Prüfpunkt).

  • Yealink-Telefone: Damit die neue HD-Codec-Konfiguration gegen das Hardware-Rauschen wirksam wird, müssen betroffene Telefone nach dem Update einmal kurz stromlos gemacht werden.

  • Fax-Erweiterung: In der Anrufliste wird bei Telefaxen nun das Label „Fax“ inkl. vollständiger Absenderkennung mit Vorwahl angezeigt. Nach dem Update erscheint auf der Fax-Seite ein Hinweis zur einmaligen Eingabe der eigenen Ortsvorwahl, um die Formatierung der Kopfzeilen auf ausgehenden PDFs zu vervollständigen.

FRANZFON Webseite: https://franzfon.de/

Kali Linux 2026.2 ist da: 3x schnellerer VM-Boot & neue Tools

,
Kali Linux 2026.2

Kali Linux 2026.2 veröffentlicht: Dreifach schnellerer VM-Boot, GNOME 50 und 9 neue Werkzeuge

Das Entwicklerteam von Offensive Security hat das zweite vierteljährliche Major-Update des Jahres freigegeben: Kali Linux 2026.2. Während die Distribution optisch mit den neuesten Desktop-Umgebungen glänzt, bringt dieses Release fundamentale Optimierungen bei der Performance virtueller Maschinen sowie wichtige strukturelle Anpassungen im Paketmanagement mit sich.

Die VM-Diät: Bis zu 3x schnellere Bootzeiten

Für Penetration Tester und Security-Analysten, die Kali Linux im Rahmen von automatisierten CI/CD-Pipelines oder in lokalen Virtualisierungsumgebungen (QEMU, VirtualBox, VMware) betreiben, bringt Version 2026.2 eine massive Erleichterung.

Das Team hat analysiert, dass die standardmäßig mitgelieferte Grafik-Firmware in virtuellen Umgebungen fast nie benötigt wird. Daher wurde die Grafik-Firmware aus den vorkonfigurierten VM-Images komplett entfernt. Zudem erkennt das Installationsmedium nun automatisch, ob eine Installation innerhalb einer VM stattfindet, und spart sich die Treiberpakete. Die RAM-Disk (initrd) schrumpft dadurch auf gerade einmal 60 MB, was die Bootzeit im Test um das Dreifache verkürzte. Bare-Metal-Installationen bleiben davon unberührt und behalten den vollen Treibersupport.

Neue Tools und das Comeback eines Klassikers

Das offizielle Netzwerk-Repository wächst um neun mächtige Werkzeuge, die aktuelle Angriffstrends und administrative Anforderungen abbilden:

  • shell-gpt: Ein KI-gestütztes Produktivitätswerkzeug, das Beschreibungen in natürlicher Sprache direkt im Terminal in ausführbare Befehle übersetzt.

  • legba: Ein moderner, extrem schneller Multiprotokoll-Enumerator für Password-Spraying- und Brute-Force-Angriffe.

  • hydra-gtk: Die GTK+-basierte grafische Oberfläche für den legendären Network-Logon-Cracker Hydra ist zurück.

  • oletools: Spezialisierte Skripte zur tieferen Analyse von Microsoft OLE2-Dateien und bösartigen Office-Makros.

  • tookie-osint: Ein hocheffizientes OSINT-Werkzeug zur gezielten Social-Media-Recherche.

  • Weitere Zugänge: arsenal-ng (Cheat-Sheet-Bibliothek), penelope (Shell-Handler), tailscale (sichere VPN-Konnektivität) und uro (URL-Bereinigung für Web-Crawler).

Infrastruktur-Anpassungen: Helper-Scripts und APT-Formate

Um die Bedienung im Alltag konsistenter zu gestalten, wurden die Services-Helper-Scripts komplett überarbeitet. Startet ein Admin nun einen Hintergrunddienst, verhindern die Skripte nicht nur doppelte Instanzen, sondern listen übersichtlich die Standard-Zugangsdaten (Credentials) auf und werfen die exakte Zugangs-URL aus.

Zudem bereitet Kali den Umstieg auf das moderne, strukturierte DEB822-Format für APT-Quellen vor. Neu installierte Systeme nutzen standardmäßig das neue Format in /etc/apt/sources.list.d/kali.sources, um künftigen Warnmeldungen des Paketmanagers zuvorzukommen.

Kernel & Desktops

Unter der Haube verrichtet standardmäßig der Linux-Kernel 6.19 seine Arbeit. An der Oberfläche stehen Anwendern die brandneuen Desktop-Umgebungen GNOME 50 (mit optimierter Speicherverwaltung und beschleunigtem Dateimanager) sowie KDE Plasma 6.6 (inklusive verbesserter Barrierefreiheit und On-Screen-Keyboards für Touch-Geräte) zur Verfügung.

Wichtiger Upgrade-Hinweis: Nach dem Einspielen des Updates über apt full-upgrade wird aufgrund von Aktualisierungen am Richtlinien-Daemon (polkitd) ein sofortiger Systemneustart empfohlen, da der Aufruf von GUI-Programmen mit administrativen Rechten sonst temporär fehlschlagen kann.

Zum offiziellen Changelog: Kali Linux 2026.2 Release Notes

CVE-2026-46331: Linux-Kernel-Lücke pedit COW gibt Root-Rechte

,

CVE-2026-46331: „pedit COW“ erlaubt unprivilegierten lokalen Angreifern Root-Zugriff unter Linux

Kaum ist die Aufregung um vergangene Kernel-Lücken verflogen, brennt es im Linux-Ökosystem an einer neuen Stelle. Unter der Kennung CVE-2026-46331 wurde eine Schwachstelle im Traffic-Control-Subsystem (net/sched) des Linux-Kernels klassifiziert. Die Lücke, die in Fachkreisen den Namen „pedit COW“ erhalten hat, ermöglicht eine lokale Rechteausweitung (Local Privilege Escalation – LPE) bis hin zu uneingeschränkten Root-Rechten. Ein öffentlicher Exploit beweist, wie gefährlich die Situation für Shared-Hosting-Umgebungen und Enterprise-Server ist.

Funktionsweise: Cache-Poisoning statt Festplatten-Hack

Der Fehler liegt in der Funktion tcf_pedit_act(), welche für das Editieren von Paket-Headern im laufenden Netzwerkverkehr zuständig ist. Das System berechnet den Copy-on-Write-Bereich (COW) vor der Verarbeitung der Editierungsschlüssel. Da hierbei jedoch die dynamischen Header-Offsets nicht korrekt berücksichtigt werden, kommt es zu einem sogenannten Partial-COW-Fehler.

Das Resultat ist fatal: Ein Angreifer kann über manipulierte Netzwerkregeln einen Out-of-Bounds-Schreibzugriff provozieren. Dieser Schreibbefehl landet im freigegebenen Page-Cache des Kernels. Der Exploit zielt dabei gezielt auf im Arbeitsspeicher gecachte System-Binaries (wie /bin/su) ab, überschreibt diese im RAM mit einem Payload und führt sie aus. Da die eigentliche Datei auf der Festplatte unverändert bleibt, versagen gängige Sicherheitsmonitore, während der Angreifer bereits eine Root-Shell öffnet.

Betroffene Systeme und Bedingungen

Red Hat listet die Versionen RHEL 8, 9 und 10 als verwundbar. Auch Ubuntu (von 18.04 bis 26.04) sowie die aktuellen Debian-Zweige (Bullseye, Bookworm, Trixie) tragen den fehlerhaften Code in ihren Standard-Kerneln.

Damit ein unprivilegierter lokaler Nutzer den Exploit erfolgreich ausführen kann, müssen zwei Bedingungen erfüllt sein:

  1. Das Kernel-Modul act_pedit ist aktiv oder kann automatisch nachgeladen werden.

  2. Unprivilegierte Benutzer-Namensräume (unprivileged user namespaces) sind im System erlaubt. Diese gewähren dem Angreifer die nötigen virtuellen Netzwerk-Rechte (CAP_NET_ADMIN), um die tc-Regeln überhaupt triggern zu können.

Schnelle Gegenmaßnahmen für Administratoren

Die sicherste Methode ist das unverzügliche Einspielen der bereitstehenden Kernel-Updates der jeweiligen Distributionen und ein anschließender Reboot. Sollte ein Wartungsfenster kurzfristig nicht möglich sein, helfen folgende temporäre Sicherheitsvorkehrungen:

  • Einschränkung von User Namespaces: Das Deaktivieren unpriviligierter Namensräume entzieht dem Angreifer die administrative Netzwerk-Basis im User-Space. Bei sysctl-basierten Systemen hilft:

    Bash

    sysctl -w kernel.unprivileged_userns_clone=0

  • Modul-Blacklisting: Verhindern Sie das automatische Laden des betroffenen Netzwerkmoduls über die Modprobe-Konfiguration (blacklist act_pedit).

Aufgrund der Verfügbarkeit eines schlüsselfertigen Angriffsskripts wird die Dringlichkeit von IT-Sicherheitsbehörden als hoch eingestuft.

Paperless-ngx v3.0.0 Beta: Das DMS kriegt einen KI-Chat!

,

Paperless-ngx v3.0.0 Beta im Test: Einzug von lokalen LLMs und intelligenter Vektor-Suche

Paperless-ngx gehört für die meisten Server-Besitzer zur absoluten Standard-Ausstattung, wenn es um das papierlose Büro geht. Mit dem im GitHub-Pull-Request #12713 vorgestellten v3.0.0 Beta-Release macht das Community-Projekt nun den größten technologischen Sprung seiner Geschichte. Das System wandelt sich von einer reinen, OCR-basierten Archivierungssoftware hin zu einem intelligenten, KI-gestützten Wissensmanagement.

RAG und lokale LLMs: Die Dokumentenbox lernt sprechen

Die bahnbrechendste Neuerung in Version 3.0.0 ist das native AI-Feature-Set, das auf der RAG-Technologie (Retrieval-Augmented Generation) basiert. Über einen im Hintergrund aufgebauten Vektor-Index (unter Nutzung einer FAISS/ChromaDB-Struktur) liest das System die Dokumenteninhalte semantisch ein.

Über eine integrierte Chat-Oberfläche können Anwender fortan direkte, natürliche Fragen an ihr gesamtes Archiv richten. Die KI filtert die relevanten Dokumente heraus, generiert eine präzise Zusammenfassung und liefert die exakten Quellenverweise als anklickbare Links direkt mit. Als Backend dienen wahlweise lokale KI-Server wie Ollama (z. B. mit schlanken Modellen wie llama3.2:1b oder qwen2.5) oder externe API-Schnittstellen.

Die v3.0.0 Beta-Features in der Praxis:

  1. Intelligenter Metadaten-Assistent: Beim Bearbeiten eines Dokuments lässt sich über ein „Zauberstab“-Symbol eine KI-Analyse triggern. Das Modell liest den Kontext und schlägt auf Knopfdruck passende Korrespondenten, Kategorien und Tags vor.

  2. Erweiterte OCR-Pipelines: Neben Tesseract fließen Optimierungen für alternative Texterkennungs-Lösungen ein, darunter modernisierte Dokumenten-Parser und Schnittstellen zu spezialisierten Tools wie Mistral-OCR.

  3. Optimierte UI & Backend-Bereinigung: Das auf Django und Angular basierende Framework wurde weitreichend überarbeitet, um Datenbank-Migrationen für den finalen v3-Release vorzubereiten und Ladezeiten bei riesigen Archiven drastisch zu senken.

Wichtige Stolpersteine in der aktuellen Beta

Wie für eine Beta üblich, gibt es ein paar technische Aspekte, die Administratoren beachten müssen:

  • CPU-Timeouts bei NAS-Systemen: Wer Ollama rein auf einer CPU (ohne dedizierte Grafikkarte) betreibt, läuft bei komplexen Prompts Gefahr, in das harte 60-Sekunden-Limit von Paperless zu laufen. Hier empfiehlt sich der Einsatz von extrem kleinen, ressourcenschonenden KI-Modellen.

  • Datenbank-Konflikte (Error 500): Beim häufigen Wechsel der zugrundeliegenden Embedding-Modelle kann es zu Dimensionskonflikten im Vektor-Index kommen. Die Lösung hierfür ist das Stoppen des Containers und das Löschen des Ordners llm_index im Datenverzeichnis, woraufhin sich der Index beim Neustart sauber neu generiert.

Fazit: Die Zukunft des DMS ist smart

Mit der Version 3.0.0 hebt das Entwicklerteam Paperless-ngx auf eine völlig neue Stufe. Die nahtlose Verschmelzung von lokaler künstlicher Intelligenz und privater Dokumentenablage zeigt eindrucksvoll, was moderne Open-Source-Software im Jahr 2026 zu leisten imstande ist.

Zum offiziellen Pull Request und Diskussionsfaden: GitHub Pull Request #12713

Digitale Abhängigkeit: 20 US-Tech-Riesen ohne deutsches Pendant

Die digitale Lücke: 20 US-Tech-Giganten und warum Deutschland kein Pendant hat

Die Diskussion um die Zukunftsfähigkeit des Wirtschaftsstandorts Deutschland wird meist von Begriffen wie Energiewende oder Fachkräftemangel dominiert. Ein weitaus tiefergehendes, strukturelles Problem wird dabei oft übersehen: die totale digitale Abhängigkeit. Während die USA die globale Plattform-Ökonomie anführen und Staaten wie China oder Russland eigene, autarke digitale Ökosysteme hochgezogen haben, existiert in Deutschland in fast keinem strategischen Digitalbereich ein nennenswertes Äquivalent.

Hier sind 20 prominente US-Unternehmen aus verschiedenen Digitalsparten, deren deutsche Pendants fehlen – und wie China sowie Russland diese Lücken gefüllt haben.

I. Infrastruktur, Betriebssysteme & Cloud

1. Microsoft (Betriebssysteme & Office-Suiten)

  • USA: Microsoft (Windows, Office 365) beherrscht die weltweiten Büroarbeitsplätze.

  • Deutschland: Es gibt kein Betriebssystem und keine konkurrenzfähige Office-Cloud. Versuche, Open-Source-Alternativen in Behörden zu etablieren, scheitern regelmäßig an der Praxis.

  • China/Russland: China setzt zunehmend auf Kylin Linux und WPS Office. Russland erzwingt den Einsatz von Astra Linux und MyOffice in Behörden.

2. Amazon Web Services / AWS (Cloud-Infrastruktur / IaaS)

  • USA: AWS (zusammen mit Microsoft Azure und Google Cloud) teilt sich den globalen Cloud-Markt.

  • Deutschland: Deutsche Cloud-Anbieter (wie Ionos oder Hetzner) sind exzellent für KMUs, haben aber im Enterprise-Hyperscaler-Segment gegen AWS keine Chance.

  • China/Russland: China nutzt Alibaba Cloud und Tencent Cloud. Russland setzt auf Yandex Cloud und VK Cloud.

3. Google Search (Suchmaschinen)

  • USA: Google hält in Deutschland einen Marktanteil von über 90 %.

  • Deutschland: Es gibt keine Relevanz. Suchmaschinen wie Ecosia nutzen im Hintergrund den Index von Microsoft Bing.

  • China/Russland: China blockiert Google und nutzt Baidu. In Russland ist Yandex der unangefochtene Marktführer vor Google.

4. Oracle (Enterprise-Datenbanken)

  • USA: Oracle dominiert den globalen Markt für relationale Datenbanken in Großkonzernen.

  • Deutschland: SAP ist zwar stark im ERP-Bereich, setzt darunter aber historisch oft auf Fremddatenbanken (obwohl mit SAP HANA ein eigenes System existiert). Eine echte Oracle-Alternative fehlt.

  • China/Russland: China migriert massiv auf Alibaba OceanBase. Russland nutzt staatlich geförderte Abspaltungen wie Postgres Professional.

II. Hardware & Halbleiter

5. Nvidia (KI-Chips & GPUs)

  • USA: Nvidia hält das weltweite Monopol auf die Hardware, die für das Training moderner KIs (LLMs) zwingend nötig ist.

  • Deutschland: Es gibt keinerlei nennenswerte Halbleiter-Entwicklung für KI-Beschleuniger. Deutschland fungiert lediglich als verlängerte Werkbank (z. B. durch Subventionen für Intel- oder TSMC-Fabriken).

  • China/Russland: China investiert Billionen in Huawei Ascend-Chips und Biren Technology, um US-Sanktionen zu umgehen.

6. Apple (Premium-Hardware & Mobile Ökosysteme)

  • USA: Apple kontrolliert mit dem iPhone und iOS die profitabelste Hardware-Plattform der Welt.

  • Deutschland: Die deutsche Consumer-Electronics-Industrie ist faktisch tot. Ehemalige Giganten wie Siemens oder Gigaset spielen keine Rolle mehr.

  • China/Russland: China dominiert den Smartphone-Markt über Huawei, Xiaomi und Oppo.

7. Intel / AMD (Prozessoren / x86-Architektur)

  • USA: Diese beiden Konzerne teilen sich das weltweite Monopol für PC- und Server-Prozessoren.

  • Deutschland: Es existiert keine eigene Chip-Architektur und keine nennenswerte High-End-Prozessorfertigung aus heimischer Entwicklung.

  • China/Russland: China baut eigene x86- und RISC-V-Prozessoren (Zhaoxin, Loongson). Russland entwickelte die Elbrus-Prozessoren, leidet jedoch unter Fertigungssanktionen.

III. Künstliche Intelligenz & Daten

8. OpenAI (Advanced AI / Large Language Models)

  • USA: OpenAI (ChatGPT) treibt die weltweite KI-Revolution an.

  • Deutschland: Aleph Alpha galt als Hoffnungsträger, hat sich jedoch aus dem Consumer-Rennen zurückgezogen und fokussiert sich rein auf B2B-Spezialanwendungen. DeepL ist stark bei Übersetzungen, baut aber kein Allzweck-LLM.

  • China/Russland: China bietet hochentwickelte Alternativen wie Baidus Ernie Bot oder Alibabas Tongyi Qianwen. Russland nutzt Sberbanks GigaChat und Yandex‘ YandexGPT.

9. Palantir Technologies (Big Data & Militärische Analytik)

  • USA: Palantir analysiert Massendaten für Geheimdienste, Militär und Großkonzerne.

  • Deutschland: Deutsche Sicherheitsbehörden müssen Software von Palantir (wie Gotham) teuer einkaufen, da keine Eigenentwicklungen existieren.

  • China/Russland: Beide Staaten nutzen staatseigene, militärisch-industrielle Datenanalyse-Systeme, die vollständig vom Westen isoliert sind.

IV. Social Media, Kommunikation & Unterhaltung

10. Meta Platforms (Social Networking)

  • USA: Facebook, Instagram und WhatsApp kontrollieren die Kommunikation der westlichen Welt.

  • Deutschland: Totale Fehlanzeige. Plattformen wie StudiVZ oder SchülerVZ gingen vor über einem Jahrzehnt unter.

  • China/Russland: China nutzt die Super-App WeChat sowie Weibo. Russland kommuniziert fast ausschließlich über VKontakte (VK) und Odnoklassniki.

11. Netflix (Video-on-Demand-Streaming)

  • USA: Netflix (zusammen mit Disney+ und Amazon Prime) diktiert die weltweiten Sehgewohnheiten.

  • Deutschland: Die Mediatheken von ARD/ZDF oder private Angebote wie RTL+ sind regionaler Natur und technisch wie inhaltlich nicht global konkurrenzfähig.

  • China/Russland: China schaut über iQIYI und Tencent Video. In Russland dominieren Plattformen wie Kinopoisk (Yandex) und Ivi.

12. YouTube (Video-Plattformen & User-Generated Content)

  • USA: YouTube ist die unangefochtene weltweite Video- und Informationsplattform.

  • Deutschland: Es existiert keine deutsche Videoplattform mit nennenswerter Reichweite.

  • China/Russland: China nutzt Youku und Bilibili. Russland baut als YouTube-Ersatz massiv die Plattformen RuTube und VK Video aus.

13. LinkedIn (Professionelles Networking)

  • USA: LinkedIn ist das globale Standardnetzwerk für B2B-Kontakte und Karriere.

  • Deutschland: Xing war jahrelang Marktführer im DACH-Raum, hat sich jedoch strategisch zu einer reinen Jobbörse zurückgezogen und verliert rapide an Relevanz gegenüber LinkedIn.

  • China/Russland: China nutzt eigene Karriere-Plattformen wie Maimai.

14. WhatsApp / Zoom (Digitale Kommunikation)

  • USA: WhatsApp dominiert den privaten, Zoom und Microsoft Teams den geschäftlichen Kommunikationsalltag.

  • Deutschland: Sichere Alternativen wie Threema oder Wire stammen aus der Schweiz bzw. der EU, führen im Massenmarkt aber ein Nischendasein.

  • China/Russland: China nutzt WeChat und Alibabas DingTalk. Russland setzt im Business auf Yandex Telemost und den Messenger Telegram (von russischen Gründern gestartet).

V. E-Commerce, Finanzen & Logistik

15. Amazon (E-Commerce-Marktplatz)

  • USA: Amazon ist das unangefochtene Kaufhaus des Westens inklusive eigener Logistik-Infrastruktur.

  • Deutschland: Otto.de hat sich stark zum Marktplatz gewandelt, reicht in Sachen Technologie, internationaler Skalierung und Logistik-Präzision jedoch nicht an Amazon heran.

  • China/Russland: China nutzt Alibaba (Taobao/Tmall) und JD.com. In Russland beherrschen Wildberries und Ozon den Markt.

16. PayPal (Digitales Bezahlen)

  • USA: PayPal ist die Standard-Zahlungsmethode im westlichen E-Commerce.

  • Deutschland: Die europäische Initiative wero versucht mühsam, Boden gutzumachen, hinkt der Marktdurchdringung von PayPal jedoch um Jahrzehnte hinterher. Girocard ist online kaum relevant.

  • China/Russland: China ist mit Alipay und WeChat Pay fast komplett bargeldlos und unabhängig. Russland nutzt das eigene Mir-Kartennetzwerk und das SBP-Schnellzahlsystem, nachdem Visa/Mastercard das Land verließen.

17. Uber (Ride-Hailing & Gig-Economy)

  • USA: Uber revolutionierte die Personenbeförderung und urbane Logistik weltweit.

  • Deutschland: Strenge Personenbeförderungsgesetze schützten das klassische Taxigewerbe lange. Es gibt kein deutsches Tech-Unternehmen dieser Größenordnung (FreeNow ist ein reines Vermittler-Konsortium).

  • China/Russland: China nutzt das Monopol von Didi Chuxing. In Russland dominiert Yandex Taxi den gesamten Markt.

VI. Kreativität, Design & Navigation

18. Adobe (Kreativ- & Design-Software)

  • USA: Adobe (Photoshop, Premiere, Illustrator) hält das absolute Industrie-Monopol für Medienschaffende.

  • Deutschland: Es gibt keine deutsche Software-Suite für professionelle Kreative.

  • China/Russland: China lizenziert im Inland zunehmend eigene CAD- und Designwerkzeuge, während Russland nach dem Adobe-Rückzug verstärkt auf Raubkopien oder staatlich subventionierte Open-Source-Umgebungen setzt.

19. Google Maps (Geodaten & Navigation)

  • USA: Google Maps liefert die Geodaten-Infrastruktur für Milliarden Nutzer und unzählige Logistik-Apps.

  • Deutschland: Das europäische Konsortium HERE (gehört deutschen Autobauern) bietet gutes Kartenmaterial, hat im B2C-Sektor als Plattform gegen Google aber keine Relevanz.

  • China/Russland: China navigiert über Amap (Alibaba) oder Baidu Maps. Russland nutzt die extrem präzisen Yandex Maps.

20. Salesforce (Cloud-basiertes CRM)

  • USA: Salesforce ist der weltweite Standard für Kundenbeziehungsmanagement in mittleren und großen Unternehmen.

  • Deutschland: Es gibt kleinere CRM-Hersteller (wie CAS Software), diese spielen auf globaler Ebene oder im DAX-Segment jedoch kaum eine Rolle.

  • China/Russland: China migriert auf Kingdee oder Yonyou. Russland nutzt 1C, das den dortigen Markt für Unternehmenssoftware vollkommen beherrscht.

Fazit: Warum Deutschland hinterherhinkt

Die Analyse zeigt ein klares Muster: Deutschland hat die Plattform-Ökonomie der letzten 25 Jahre verpasst. Während die deutsche Wirtschaft exzellente physische Güter (Maschinen, Autos, Chemie) baut, fehlt das Verständnis für digitale Skalierung und softwaregetriebene Monopolbildung.

China schützte seinen Markt frühzeitig durch die „Great Firewall“ und zwang so heimische Tech-Giganten ins Leben. Russland nutzte den kyrillischen Sprachraum und geopolitische Eigenheiten für autarke Systeme. Deutschland hingegen hat weder den Protektionismus Chinas noch das Risikokapital der USA – und steht 2026 vor der gewaltigen Herausforderung, in einer softwaregetriebenen Welt nicht vollends an digitaler Souveränität zu verlieren.

Rocky Linux 10.2 & 9.8: Alle Features und Security-Updates

Rocky Linux 10.2 und 9.8: Maximale Enterprise-Stabilität mit neuem Sicherheits-Feature

Seit dem Ende des klassischen CentOS hat sich Rocky Linux als der unangefochtene Fels in der Brandung für Server-Umgebungen etabliert. Das Projekt unter der Führung von CentOS-Gründer Gregory Kurtzer bleibt seiner Linie treu: Absolute Binärkompatibilität zu Red Hat Enterprise Linux (RHEL®). Mit den parallelen Releases von Rocky Linux 10.2 und Rocky Linux 9.8 beweist die Community, wie lebendig und zukunftssicher dieses Ökosystem ist.

Ein neuer Schutzschirm: Das Rocky Linux Security Repository

Die wohl strategisch wichtigste Neuerung betrifft das Patch-Management bei kritischen Zero-Day-Lücken. Traditionell wartet ein Downstream-Rebuild wie Rocky Linux darauf, dass der Upstream-Hersteller die fehlerbereinigten Pakete veröffentlicht. Bei gravierenden Schwachstellen (wie dem „Dirty Frag“-Kernel-Fehler) stellte dies Systemadministratoren vor eine riskante Wartezeit.

Die Lösung der RESF ist das Rocky Linux Security Repository. Hierbei handelt es sich um ein rein optionales, standardmäßig deaktiviertes Opt-In-Repository. Es dient als temporäre Notfallbrücke, um dringende Security-Fixes sofort bereitzustellen, wenn ein Exploit bereits aktiv ausgenutzt wird, aber noch kein Upstream-Paket existiert. Sobald der offizielle Upstream-Fix erscheint, überschreibt dieser das temporäre Paket automatisch. Die totale Kompatibilität bleibt somit vollständig gewahrt.

Technische Highlights im Überblick

Rocky Linux 10.2 („Red Quartz“)

Das aktuelle Flaggschiff bringt modernste Infrastruktur-Technologien direkt in dein Rechenzentrum:

  • Modernes Kernel-Fundament: Version 6.12 sorgt für exzellenten Hardware-Support und optimiertes Ressourcenmanagement in virtuellen Umgebungen.

  • Post-Quanten-Kryptographie: Integration von zukunftssicheren Algorithmen (ML-KEM und ML-DSA) direkt in GnuTLS 3.8.10.

  • Up-to-date Toolchains: Bereitstellung des GCC Toolsets 15 (inklusive GCC 15.2), LLVM 21.1 sowie aktualisierter Laufzeiten für Rust (1.92) und Go (1.26).

Rocky Linux 9.8 („Blue Onyx“)

Für bestehende und hochstabile Produktivsysteme liefert der 9er-Zweig ein wichtiges Wartungsupdate:

  • Image Builder Upgrades: Unterstützt fortan fortschrittliche Festplattenpartitionierungen für maßgeschneiderte Images sowie Kickstart-Injektionen bei der ISO-Erstellung.

  • Aktualisierte Server-Komponenten: Neue Core-Pakete wie MariaDB 11.8, PostgreSQL 18, Ruby 4.0 und Node.js 24 heben Web- und Datenbankstapel auf ein neues Level.

Nahtlose Migration mit Bordmitteln

Der Wechsel von anderen Enterprise-Linux-Distributionen (auf Basis der Version 9) zu Rocky Linux bleibt denkbar einfach. Mithilfe des offiziellen Skripts migrate2rocky lässt sich der Umstieg im laufenden Betrieb vollziehen. Innerhalb des Hauptzweigs genügt ein simples sudo dnf -y upgrade, um bestehende Systeme auf den neuesten Stand zu bringen.

Fazit

Mit dem dualen Release-Zyklus und der Einführung des intelligenten Sicherheits-Repositorys beweist Rocky Linux, dass kompromisslose Enterprise-Stabilität und agile IT-Sicherheit Hand in Hand gehen können. Wer ein verlässliches Betriebssystem mit einem kostenlosen 10-Jahres-Support-Lebenszyklus sucht, kommt an Rocky Linux nicht vorbei.

Offizielle Webseite: Rocky Linux de-DE