Eine kritische Sicherheitslücke in Ruby on Rails ermöglicht es Angreifern, über manipulierte Bild-Uploads beliebige Dateien auszulesen, auf die der Rails-Prozess zugreifen kann.

Im Webframework Ruby on Rails haben Experten eine als kritisch eingestufte Sicherheitslücke entdeckt. Die Lücke öffnet sich über den Upload von manipulierten Bilddateien.

Welche Apps gibt es, um Wörter auf dem Smartphone zu übersetzen? Wörterbücher, Übersetzungs-Apps oder KI?

Auf Reddit macht ein Screenshot die Runde, der einen enorm hohen Marktanteil von Linux zeigt. Der Grund: Bots und KI-Agenten. (Betriebssysteme, KI)

Nach mehreren Sicherheitsvorfällen hat sich das Arch-Linux-Projekt entschlossen, die Paketübernahmen und nachfolgende Commits über das Arch User Repository (AUR) zu deaktivieren.

A quarter-century of Software Freedom: the FSFE turns 25

The FSFE was founded in 2001 by a group of European Free Software advocates. 25 years later, this European charity has grown into one of the most respected organisations defending Software Freedom in Europe.

“Software already transcends daily life in an increasing manner and becomes a deciding factor. Just as other developments in the past of mankind, software developed from being an economic to a cultural property with increasing presence in everyday life. […] It is essential for the future of mankind that software as a cultural property will remain accessible for everyone and is preserved in libraries like other knowledge.” Founders of the FSFE, 2001

In 2001, a group of European Free Software advocates put their heads together to come up with ways to protect Free Software in Europe. Together they founded the Free Software Foundation Europe… and the rest is history.

The FSFE's 25-year story is the story not only of the staff, but also that of our volunteers and supporters, who contribute to our daily work. For a quarter-century, we have been educating current and future generations about the importance of the Four Freedoms. We have been helping developers understand licensing and legal terminology so they can keep doing what they do best. As FSFE we have been standing up to those who want to take control away from the people.

This July, at EuropPython 2026 in Kraków, our community came together to celebrate its 25th anniversary! FSFE staff, volunteers, donors, and founders gathered for a full weekend of talks, a booth, long evenings of networking, and ice-cream! All capped off with a proper birthday celebration: cake, a photo booth, and 25 years of stories swapped between old supporters and newcomers alike.

These 25 years have been possible thanks to our donors and supporters! At the FSFE25 we heard first hand why some of our donors support us. It was inspiring to see how much trust is placed into our work. For this we want to say thank you: to all of you!

Looking ahead: our Vision 2048

Turning 25 is also a moment to look forward. As the FSFE looks to the next chapter, we are guided by our vision for 2048, a world where Software Freedom is no longer a niche concern, but the norm:

• Everyone has the right to remove and install any software on any of their devices.
• All public funding for software goes exclusively to Free Software.
• Regulatory frameworks actively encourage the use and development of Free Software.
• Licensing and legal decisions are grounded in facts, not fear, uncertainty, and doubt.
• Young people grow up with the freedom to tinker, experiment, and code, with Free Software as the default.

If the first 25 years were about proving that Software Freedom matters, the next 25 are about making it the norm.

Participants of the FSFE25 celebrations, who at some point, have been FSFE interns

What started as a small organisation in 2001 is now a Europe-wide charity with active volunteers across European countries, legal experts, a podcast, a children's book turned movie, a programming competition for teenagers, and court victories against some of the world's largest tech companies to its name. The Four Freedoms (to use, study, share, and improve software) are, if anything, more urgent today than they were back then.

Kudos to all of you who have been there supporting us and Software Freedom! Here's to the next 25 years!

25 years of milestones

To mark this milestone, the FSFE has published a timeline, tracing 25 years of policy wins, legal work, campaigns, and community milestones across its core focus areas.

Over 25 years, the FSFE has chalked up wins that reshaped how Europe thinks about software:

• 2005 - After an intense continent-wide campaign, the European Parliament rejected the Software Patents directive, and thus keeping Europe's software ecosystem open for small developers.
• 2007 - Years of legal pressure alongside the Samba team forced Microsoft to publish interoperability information following its antitrust case — a landmark moment for interoperability rights.
• 2010 – Establishment of the "I Love Free Software Day": every 14 February the FSFE asks Free Software users to thank the developers of the software they use every day.
• 2012 – Launch of the “Free Your Android” campaign to help users free their phones and use Free Software apps.
• 2016 - Germany enshrined Router Freedom into telecom law, allowing citizens choose their own routers instead of being locked into their ISP's hardware, after three years of FSFE advocacy.
• 2017 - Launch of “Public Money? Public Code!” initiative, which advocates for publicly funded software to be made publicly available. One of the FSFE's flagship initiatives across European parliaments.
• 2018 - The FSFE joined its first NGI0 consortium, providing support on legal and licensing questions and promoting the use of its REUSE specification. This set of recommendations make licensing Free Software projects easy, comprehensive, unambiguous, and machine-readable.
• 2021 - FSFE president Matthias Kirschner published “Ada & Zangemann”, a children's book on Software Freedom. It was later adapted into an animated film in 2025.
• 2024/2025 - FSFE intervened in Apple's Digital Markets Act litigation before the Court of Justice of the EU. In July 2026, the Court dismissed Apple's challenge outright, confirming that the company remains bound by the DMA's interoperability obligations

Support FSFE

Nach dem großen Sprung auf Immich 3.0 legen die Entwickler der beliebten Foto- und Video-Verwaltung jetzt Immich 3.1.0 vor. Neben einem Upload Wakelock gibt es auch zwei neue Filter für die Workflows.

Die Angriffe auf das Arch User Repository (AUR) reißen nicht ab. In einer dritten Welle wurden jetzt mindestens 200 Pakete mit einem Infostealer infiziert.

Anoxinon bietet euch eine beliebte Mastodon-Instanz an. Leider kam es in der letzten Woche zu einem Hardware-Ausfall. Jetzt könnt ihr dem Verein helfen und damit das Fediverse stärken.

TUXEDO OS stellt seine technische Basis auf Debian um. Nicht nur Privat- sondern vor allem Unternehmenskunden sollen von einer langfristig planbaren und modernen Linux-Plattform profitieren. Der Fokus liegt auf Stabilität, Sicherheit und einfacher Verwaltung. Der Wechsel bedeutet keine Neuausrichtung des Betriebssystems. TUXEDO OS bleibt eng auf die eigene Hardware abgestimmt. Auch KDE Plasma und die […]

Der Beitrag So will TUXEDO OS mit Debian Testing Firmenkunden überzeugen erschien zuerst auf fosstopia.

Microsoft-Chef Satya Nadella spricht sich für mehr Kontrolle über Unternehmensdaten aus. Firmen sollten sich beim Einsatz künstlicher Intelligenz nicht vollständig auf externe Anbieter verlassen. Nach Ansicht von Nadella sollten Unternehmen ihre eigenen Daten selbst verwalten. Alternativ empfiehlt er, eigene offene KI-Modelle mit diesen Informationen zu trainieren. Wer diese Kontrolle aufgebe, verliere langfristig seine digitale Handlungsfähigkeit. […]

Der Beitrag Microsoft-Chef warnt vor Abhängigkeit von KI-Anbietern erschien zuerst auf fosstopia.

Ein fehlerhaftes Defender Update sorgt für Probleme unter Linux. Microsoft hat zwei schwerwiegende Fehler offiziell bestätigt. Besonders kritisch sind die Versionen 101.26042.0000 bis 101.26042.0009. Nach einem Update oder einer Neuinstallation kann sich der Defender Dienst nach einem Neustart auf einigen Linux Systemen deaktivieren. Dadurch entfällt der aktive Schutz des betroffenen Geräts, wie Microsoft angibt. Vor […]

Der Beitrag Microsoft bestätigt Defender-Fehler unter Linux mit möglichen Sicherheitsfolgen erschien zuerst auf fosstopia.

Der Cyber Resilience Act rückt näher und auch Open-Source-Projekte müssen sich darauf einstellen. Eclipse und OWASP bündeln nun ihre Hilfsangebote.

In der FOSS-Welt war in Woche 31 einiges los. Von CoMaps über Thunderbird Mobile und Piccolo bis zu Anoxinon

In den vergangenen drei Monaten wurden fast 6.800 als bösartig eingestufte Python-Paket-Artefakte im PyPI-Index gezählt. Wie man Python-Software vor Supply-Chain-Angriffen schützt, erklärt dieser Artikel.

Arch Linux muss einen prägenden Entwickler verabschieden. Morten Linderud beendet nach zehn Jahren seine Mitarbeit. Unter dem Namen Foxboron gehörte Morten Linderud jahrelang zu den bekanntesten Gesichtern des Projekts. Er arbeitete als Entwickler, Paketbetreuer, AUR-Maintainer und Mitglied des Sicherheitsteams. Nun zieht er einen Schlussstrich und verabschiedet sich von Arch Linux. Während seiner Zeit übernahm Linderud […]

Der Beitrag Arch Linux verliert langjährigen Entwickler und Sicherheitsexperten erschien zuerst auf fosstopia.

Open Weight statt Cloud: Qwen 3 TTS bringt hochwertige deutsche Sprachsynthese auf den eigenen Rechner. (KI, Raumklang)

Der Linux Coffee Talk ist das entspannte Monatsformat bei fosstopia. Hier fassen wir die spannendsten Ereignisse und Entwicklungen der letzten Wochen für Euch zusammen und ordnen sie bestmöglich ein. Also schnappt euch einen Kaffee, Tee oder Euer Lieblingsgetränk, macht es euch gemütlich und lasst uns den Juli 2026 Revue passieren.

Der Beitrag Podcast: Linux Coffee Talk 7/2026 erschien zuerst auf fosstopia.

Der Linux Coffee Talk ist das entspannte Format rund um Linux, Open Source und Technik im Alltag. Ohne Hype und ohne Clickbait, dafür mit ehrlichen Einordnungen, persönlichen Meinungen und einem Überblick über die wichtigsten Linux- und FOSS-Themen aus dem Juli 2026. Wir sprechen über Distributionen, spannende Projekte, Datenschutz, praktische Werkzeuge und alles, was Linux-Nutzer bewegt. […]

Der Beitrag Linux Coffee Talk 7/2026 erschien zuerst auf fosstopia.

Unsere Mastodon-Instanz bei Anoxinon kämpft nach einem Hardware-Ausfall mit einem Datenverlust, der uns möglicherweise den Account kostet. Wir nehmen das zum Anlass für einen eigenen Restore-Test und machen dem Verein ein Angebot.

Die Verschlüsselung der Anwenderdaten in Ubuntu Touch ist seit der Version 24.04 (OTA 2.0) für unterstützte Geräte nicht mehr im "Experimental" Status. Ein Feature, welches das Volla Phone erster Generation nie bieten wird.

Wie viele von euch vermutlich bereits bemerkt haben, ist unser Mastodon-Profil bei social.anoxinon.de derzeit nicht erreichbar.

Mozilla hat Version 2.39 seiner VPN-Clients für das Mozilla VPN veröffentlicht.

Mit dem Mozilla VPN bietet Mozilla in Zusammenarbeit mit Mullvad sein eigenes Virtual Private Network an und verspricht neben einer sehr einfachen Bedienung eine durch das moderne und schlanke WireGuard-Protokoll schnelle Performance, Sicherheit sowie Privatsphäre: Weder werden Nutzungsdaten geloggt noch mit einer externen Analysefirma zusammengearbeitet, um Nutzungsprofile zu erstellen.

Jetzt Mozilla VPN nutzen

Die Neuerungen vom Mozilla VPN 2.39

Das Mozilla VPN 2.39 bringt weitere optionale Widgets für iOS. Auch auf Windows werden jetzt Nur-IPv6-Netzwerke unterstützt. Für eine einfachere Fehlerdiagnose wurde das Logging auf macOS verbessert. Ansonsten bringt das Update auch wieder Fehlerbehebungen und Verbesserungen unter der Haube.

Der Beitrag Mozilla VPN 2.39 veröffentlicht erschien zuerst auf soeren-hentzschel.at.

Wenn ich mir überlege, dass die heutige Generation Tablet gar nicht mehr in den Kontakt mit Dateisystemen kommt, keine ausführbaren Dateien kennt und nun auch auf Android vom Sideloading befreit wird, sehe ich auch ein Stück Computergeschichte verloren: Die Zeit der Virenscanner. Diese waren in den 2000ern kaum wegzudenken. Viele der verbreiteten Scanner verwandelten sich dann irgendewann zu Bloatware und ab 2015 mit dem Aufkommen von Windows Defender und dem Siegeszug der mobilen Endgeräte verschwanden sie allmählich in ihrer bisherigen Form. Viele der AV-Hersteller haben sich dann auf Endpoint Security und Mobile Device Management konzentriert. Auf den beiden großen mobilen Plattformen iOS und Android gibt es durch das Sandboxing und die regulierte App-Verteilung sowieso Bedingungen, unter denen das Konzept des Virenscanners einfach nicht mehr funktioniert.

Was aber auch zur goldenen Ära der Virenscanner dazugehörte, war das Argument, dass es Viren auf Linux nahezu nicht gäbe. Das System habe von Haus eine strikte Rechtevergabe und da die Verbreitung des Systems im geringen Prozentbereich liegt, ist es für Angreifer schlicht zu irrelevant für die Entwicklung, als dass es ein lohnenswertes Ziel sei.

AUR

Diese Erklärung greift allerdings zu kurz, wenn wir die aktuellen Beobachtungen im Arch User Repository (AUR) einbeziehen. Angriffswellen in bisher beispiellosem Ausmaß zwangen das Projekt bereits, die Registrierung neuer Benutzer abzuschalten. Am 13. Juli wurde die Nutzerregistrierung zwar wieder erlaubt, aber die Gegenmaßnahmen erwiesen sich in der ersten Iteration als wirkungslos. Aktuell wurde die Übernahme von Paketen deaktiviert, da legitime AUR-Pakete immer mehr von Malware befallen werden.

Das Konzept von Arch Linux, die Paketbereitstellung in die „offiziellen Repositories“ von den vertrauenswürdigen Entwicklung und in eine freie Skriptesammlung (AUR) zu unterteilen, erweist sich rückblickend als gute Entscheidung und Balance zwischen Flexibilität, die bisher immer hervorgehoben wurde, und Sicherheit, wie sie jetzt benötigt wird. Glücklicherweise sind die offiziellen Repositories bisher auch nicht betroffen.

Zwei Punkte sprechen meiner Meinung nach dafür, dass Linux immer mehr ein Ziel wird. Erstens ist die Verbreitung von Linux in den letzten Jahren gestiegen, u. a. auch durch integrierte Systeme wie SteamOS. Das ist für den Desktop eine super Sache, aber macht das System für Malware-Autoren immer attraktiver.

Zweitens werden auf Linux-Systemen immer wertvollere Daten verarbeitet. Die Systeme werden überwiegend von Entwicklern genutzt, die wiederum sich damit auf Server, Cloudumgebungen oder LLM-Kontingente schalten. Im Risikozone-Podcast berichten wir mit einer besonderen Hingabe über Supply-Chain-Attacken und hier trifft es besonders oft die SSH-Keys, CI-Variablen, Wallets oder Cloud-Credentials.

Angreifer, die diese Daten erbeuten, können Informationen kopieren – gut, das konnten sie unter Windows auch. Aber speziell unter Linux-Systemen finden sich durch die ganzen Credentials Daten, mit denen Angreifer Rechenzeit klauen können. Das ist quasi wie moderner Kreditkartenbetrug, nur mit einer Indirektion mehr: Während man einen fremdgetätigten Einkauf vor dem Versand noch mit Mühe rückgängig machen kann, ist die Rechenzeit schon verbraucht und der Cloud-Provider treibt einfach nur das Geld ein.

Bei Credentials handelt es sich auch nicht um Daten, vor denen die klassische Rechtevergabe auf dem lokalen Computer schützt. Wenn die Entwicklungsumgebung, die mit Benutzerrechten arbeitet, die Angabe verarbeiten muss, hat Malware, die unter den gleichen Rechten läuft, zwangsläufig auch Zugriff darauf. Hier haben wir es nicht mit Malware zu tun, die Software systemweit installieren möchte. Man könnte zwar einen Proxy einführen, der die API-Keys in einem geschützten Nutzer wegsperrt und durch den man die Anfragen leiten muss, aber das wären nach heutigem Stand individuelle Speziallösungen.

Geschichte wiederholt sich

Linux steht möglicherweise an einem ähnlichen Punkt wie Windows vor drei Jahrzehnten. AUR und aus dem Internet heruntergeladene Skripte sind natürlich grundsätzlich nicht vertrauenswürdig. Das ist ähnlich wie die .exe-Dateien unter Windows, bevor Signaturen und Smart Screen umfangreich ausgerollt wurden. Besonders fies sind allerdings Package-Adoptions, da ehemals vertrauenswürdige Pakete feindlich übernommen werden.

Paketmanager werden ja sowieso im AUR auf eigene Gefahr bereitgestellt und gute Paketmanager lassen die PKGBUILD vorher noch diffen. Aber genau das Vertrauen in die bekannten Prozesse wie Paketupdates lässt Malware in Form einer Supply-Chain-Attacke durch Updates zu.

Wir werden beobachten müssen, wie das AUR-Team mit den Angriffskampagnen umzugehen lernt und wie der Umgang mit solchen Repositories zukünftig aussehen wird.

Aus Viren wurden Exploits

Bleibt abschließend die Frage, was eigentlich aus Windows und macOS wurde. Sind die Systeme malwarefrei geworden? Mitnichten. Der Fakt, dass der Virenscanner obsolet wurde, begründet sich auf der Eindämmung des Verbreitungsweges des freiwilligen Downloads.

Lädt das Opfer die Viren nicht freiwillig herunter oder wird schlicht der Weg durch das Betriebssystem versperrt, werden härtere Geschütze aufgefahren. Das wären konkret Sicherheitslücken, im aggressivsten Fall Zero Days. Und auch hier sehen wir eine deutliche Zunahme und niederschwellige Verfügbarkeit eben solcher, nicht zuletzt durch LLMs.

Für potentiell Betroffene Nutzergruppen ist nun erhöhte Wachsamkeit bei AUR gefragt: PKGBUILDs auch bei Updates individuell kontrollieren, unbekannte Software höchstens in Containern oder VMs auszuführen und Überlegungen anstellen, wer überhaupt auf Credentials zugreifen kann. Wer z. B. Testing und Entwicklung in getrennte Systeme oder VMs auslagert, verringert das Risiko, dass Daten gestohlen werden können.

Trotz Berichten über chaotische Zustände sieht die Regierung die EUDI-Wallet auf Kurs. Sie bekräftigt den Start der App für erste Bürgerdienste für Anfang 2027.