Notizen und Skizzen
Backend-Ideen erklärt, so wie ich sie am Whiteboard erkläre: ein paar Kästen, ein paar Pfeile, und kein Fachbegriff ohne Zeichnung.
Versteckte KI-Anweisungen in Webseiten: der Fall der WhatsApp-Hilfeseiten
Redact fand auf den Hilfeseiten von WhatsApp Text, den Menschen nie sahen, Maschinen aber bekamen. Was der Bericht sagt, was WhatsApp WIRED sagte und wie du deine eigenen Seiten prüfst.
Beitrag lesenHTML-in-Canvas: Chrome zeichnet echtes DOM in Canvas und WebGL
Mit dem HTML-in-Canvas-Origin-Trial in Chrome zeichnest du DOM-Inhalte in ein 2D-Canvas oder eine WebGL/WebGPU-Textur, und sie bleiben klickbar, markierbar und für Screenreader lesbar. So funktioniert es in drei Schritten, und das sind die zwei Grenzen.
Beitrag lesenInterop 2027: CSS-Features, die du heute schon nutzen kannst
Interop 2027 wird gerade geplant, und das CSS auf der Liste läuft schon in Chrome und Edge. Fünf von Josh W. Comeaus Favoriten, ihr Stand im Oktober 2026 und welche du heute schon als Progressive Enhancement ausliefern kannst.
Beitrag lesenLaravel Read Replicas: warum Nutzer nach dem Speichern alte Daten sehen
Jemand speichert eine Änderung, wird weitergeleitet und sieht den alten Wert, weil der Lesezugriff bei einer Replica landete, die noch nicht nachgezogen hatte. Warum sticky das nicht abdeckt und was Laravel 13.38 dafür mitbringt.
Beitrag lesenLet's Encrypt prüft aus zwei weiteren Perspektiven: wer das merken kann
Ab November 2026 prüft Let's Encrypt deine Domain von sieben statt fünf Stellen aus, bevor ein Zertifikat ausgestellt wird. Für die meisten Websites ändert sich nichts. Wenn du den Zugriff auf den Challenge-Pfad nach Land oder IP filterst, lies das hier zuerst.
Beitrag lesenWarum der Konfidenzwert eines LLM keine Messung ist
Frag ein LLM, wie sicher es ist, und es schreibt eine Zahl wie 0,85. Diese Zahl ist Text, keine Messung. Was Kalibrierung bedeutet, wie du sie prüfst und wie du einen Konfidenzwert baust, dem du trauen kannst.
Beitrag lesenLLM-Preise fielen 2026 schnell, und der Cache-Read-Preis zählt am meisten
OpenAI und Anthropic haben zwischen Juni und Oktober 2026 immer wieder die Preise gesenkt. Die Zeitleiste von Max Woolf und sein Punkt, dass beim agentischen Coden der Cache-Read-Preis den Großteil der Rechnung bestimmt.
Beitrag lesenLLMs und formale Verifikation: was „bewiesen“ bei 123 Bibliotheken heißt
Anthropic und Theorem haben mit Claude bewiesen, dass Fuzz-Tests in 123 Open-Source-Bibliotheken bei Eingaben unter 64 MB nie abstürzen. Was formale Verifikation einfach erklärt ist, was die Beweise abdecken, was nicht, und was ein normales Team daraus mitnimmt.
Beitrag lesentsrs: TypeScript nach Rust portiert, und was das heute für dich ändert
Cloudflare und VoidZero haben tsrs angekündigt, eine Portierung des TypeScript-Compilers nach Rust, die dem TypeScript-Team folgt, statt es zu forken. Was die Benchmarks behaupten, warum Rust statt Go, und ob ein normales Projekt jetzt etwas tun muss.
Beitrag lesenUUIDv7-Zeitstempel sind nicht das, was du denkst
UUIDv7 verspricht eindeutige IDs, die nach Zeit sortieren und ihr Erstellungsdatum tragen. Garantiert ist nur das Erste. Was der RFC erlaubt, was eine zurückgestellte Uhr bewirkt und was eine Laravel-App mit HasUuids trotzdem speichern sollte.
Beitrag lesenZwei kritische RCEs im PHP-Kern: was betroffen ist und wie du patchst
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen zwei Lücken, die Remote Code Execution ohne Authentifizierung erlauben können. Welche Server-Setups am stärksten betroffen sind, wie du jede PHP-Version findest, die bei dir läuft, und warum die Workarounds kein Fix sind.
Beitrag lesenEin Drittel der PHP-Sites läuft ohne Fixes, und 8.2 ist als Nächstes dran
W3Techs zählt 34,7 % der PHP-Websites auf PHP 7 oder älter, alle am Ende ihres Lebenszyklus, und PHP 8.2 verliert am 31. Dezember 2026 den Sicherheits-Support. Was reiner Sicherheits-Support bedeutet, ein Upgrade-Plan mit Daten und drei Fragen an deinen Hoster.
Beitrag lesenNode.js-Sicherheitsreleases Oktober 2026: was du aktualisieren musst
Node.js 26.12.1, 24.22.1 und 22.23.4 schließen zehn Lücken, vier davon mit hoher Schwere: ein Speicherfehler im Brotli-Decoder, zwei TLS-Hostname-Prüfungen und ein Bug bei DNS-Namen. Welcher Code sie erreicht und wie du prüfst, welches Node wirklich läuft.
Beitrag lesenNode.js: randomUUID() in Snapshots und Grenzen des Berechtigungsmodells
Zwei kleinere Fixes im Node.js-Release vom Oktober 2026 korrigieren Annahmen statt Abstürze: Zufallswerte wiederholten sich über Prozesse aus demselben Snapshot, und das Berechtigungsmodell ließ sich umgehen. Wer betroffen ist und wer nicht.
Beitrag lesenEine CA hat das Vertrauen verloren. Weiß deine Node-App davon?
Acht Zwischen-CAs von eMudhra wurden im Oktober 2026 widerrufen, die Browser haben sie innerhalb weniger Tage blockiert. Eine Server-App vertraut der Liste, mit der sie gebaut wurde. Den Fix für deine Dienste musst du selbst ausrollen.
Beitrag lesenNext.js außer der Reihe: die SVG-Bild-RCE und drei Checks
Eine kritische RCE ohne Authentifizierung in der Image Optimization API von Next.js, erreichbar über SVG-Dateien auf glibc-basiertem Linux. Gefixt in 15.5.28 und 16.4.1. Drei Checks zeigen, wo du stehst: next, sharp und der Container-User.
Beitrag lesennpm-Provenance ist kein Sicherheitscheck: was der tensorlake-Wurm zeigt
Ein Tracker meldet ein npm-Release, gebaut aus dem echten Repository und mit gültiger Provenance, das beim Installieren einen Wurm zum Stehlen von Zugangsdaten startete. Was Provenance beweist, was nicht, und wo du den Weg zu deinen Secrets kappst.
Beitrag lesenEin Paket, alle Schlüssel: das kompromittierte LiteLLM-Release
Ein Tracker meldet ein bösartiges LiteLLM-Release auf PyPI und Docker, das bei jedem Python-Start Zugangsdaten stahl. Warum ein KI-Gateway ein so lohnendes Ziel ist und wie man eine Bibliothek eindämmt, die alle Provider-Schlüssel hält.
Beitrag lesenHoster gehackt: Umgebungsvariablen in der richtigen Reihenfolge rotieren
Railway meldet, dass Unbefugte möglicherweise entschlüsselte Umgebungsvariablen gelesen haben, und bittet alle Nutzer, sie zu rotieren. Hier sind das Inventar und die Reihenfolge Anlegen, Deployen, Widerrufen, mit der daraus eine Stunde Arbeit wird statt eines Tages.
Beitrag lesenEine Woche, vier Ökosysteme: Vorfälle in PHP, Node und Python, Oktober 2026
Kritische Releases von PHP und Node.js am selben Tag, eine Zertifizierungsstelle mit schwachen Schlüsseln, der Secret-Speicher eines Hosters und zwei verseuchte Pakete. Was die Vorfälle vom 14. bis 22. Oktober gemeinsam haben, und die kurze Checkliste, die das meiste davon abdeckt.
Beitrag lesenLaravel TokenGuard umgangen: Bist du betroffen, und was heute zu tun ist
Eine kritische Lücke im Token-Guard von Laravel ließ einen Nicht-String-Wert auf MySQL und MariaDB zum falschen Benutzer passen. So erkennst du an einer einzigen Datei, ob deine App diesen Guard nutzt, und diese zwei Befehle solltest du ausführen.
Beitrag lesenGeprüfter Tag, anderer Code im Lauf: Lockfiles für GitHub Actions
Ein Workflow mit uses: some/action@v4 kann nächsten Monat anderen Code ausführen, ohne dass sich in deinem Repository etwas ändert. Die neuen Workflow-Lockfiles von GitHub fixieren die genauen Commits, auch die transitiven.
Beitrag lesenMalware beim Installieren, und was GitHubs Paket-Firewall prüft
Manche bösartigen Pakete stehlen Zugangsdaten schon während der Installation, bevor dein Code sie überhaupt importiert. GitHub bietet jetzt eine Firewall vor npm für Enterprise Cloud an. Was sie prüft, was sie nicht abdeckt und was du auf jedem Plan tun kannst.
Beitrag lesenGestapelte Pull Requests auf GitHub: kleinere Reviews, ein Merge
Ein Pull Request mit 1.500 Zeilen wird überflogen und genehmigt. Am 6. Oktober 2026 hat GitHub gestapelte Pull Requests allgemein verfügbar gemacht: eine Kette kleiner PRs, jeder für sich geprüft, die gemeinsam landen. Was sich geändert hat und wann ein Stack das falsche Werkzeug ist.
Beitrag lesenDein Coding-Agent kann deine SSH-Schlüssel lesen. So zäunst du ihn ein
Ein Coding-Agent führt Befehle als du aus, also kann er alles lesen, was du lesen kannst. Was GitHubs lokale Sandbox für Copilot einschränkt, und die Schutzschichten, die du für jeden Agenten übernehmen kannst.
Beitrag lesenAPI-Key gepusht: die ersten zehn Minuten, in der richtigen Reihenfolge
Den Commit zu löschen macht einen Key nicht wieder geheim. Erst beim Anbieter widerrufen, dann die Nutzung prüfen, den Key in .env und config() verschieben und erst danach über das Umschreiben der Historie nachdenken.
Beitrag lesenMCP-Server in PHP: was das offizielle SDK kann und wann du es lässt
Das Model Context Protocol hat jetzt ein offizielles PHP-SDK. Was es PHP- und Laravel-Entwicklern bringt, wann sich ein MCP-Server lohnt und warum jedes Tool-Argument als nicht vertrauenswürdige Eingabe gilt.
Beitrag lesenllms.txt und KI-Zitate: was die Belege zeigen und was nicht
Ein Paket-Maintainer sagt, llms.txt habe kaum etwas gebracht. Ein Anbieter sagt, eine Seite voller erfundener Zahlen wurde von ChatGPT weiter abgerufen, nachdem Google sie fallen ließ. Was das bedeutet und was diese Website wirklich über ihre eigene llms.txt weiß.
Beitrag lesenPHP 8.5 in Laravel-Apps: was seinen Platz verdient, was du zuerst prüfst
PHP 8.5 bringt den Pipe-Operator, clone with, array_first() und einen echten URL-Parser. Manches ändert, wie sich Laravel-Code liest, anderes deckt Laravel längst ab. Dazu die Deprecations, nach denen du vor dem Upgrade suchen solltest.
Beitrag lesenWarum deine API langsam wirkt: die Idee in zwei Skizzen
Der Endpoint selbst ist schnell. Die E-Mail, die er verschickt, nicht. Eine Warteschlange löst das, zwei Skizzen erklären die ganze Idee.
Beitrag lesenDatenbank-Indizes, erklärt mit einem Telefonbuch
Eine Abfrage, zwei Wege sie auszuführen: eine Million Zeilen einzeln prüfen, oder drei Sprünge einen Baum hinab. Zwei Skizzen zeigen den Unterschied.
Beitrag lesenAnatomie einer Taxi-Buchung in Echtzeit
GPS-Signale, WebSockets, und ein Sprachanruf, der nie deinen Server berührt. Eine Skizze von allem, was zwischen "buchen" und "hallo" passiert.
Beitrag lesen