Immich

    • Neu

    Kein PHP Update (nutzen kein PHP), aber ein fix für eine kompromittierte CA.

    Ich werde hier in dem Thread bei zukünftigen Security Updates für Immich auch benachrichtigen


    v3.3.5

    Latest


    [Blockierte Grafik: https://avatars.githubusercontent.com/u/109746326?s=40&v=4] immich-push-o-matic released this 11 minutes ago

    v3.3.5

    8303cb1

    Caution

    This version contains a fix for today's CA compromise (https://emudhra.we-have-a-problem.com/). While we don't believe this compromise brings an immediate danger to Immich instances, we still recommend that you update as soon as possible.

    https://xkcd.com/221/

    What's Changed

    🔒 Security

    • chore(deps): update python docker digests by @bo0tzz in #32635
    • chore(deps): update dependency certifi to v2026.10.19 by @bo0tzz in #32636

    Full Changelog: v3.3.4...v3.3.5

    2 Mal editiert, zuletzt von fvbor (21. Oktober 2026 um 20:26)

    • Neu
    Zitat

    Boah... Alles ist gerade löchriger Käse :D

    Bin seit ca. 2 Wochen aktiv im Forum am mitlesen, auf Grund eines VPS Tausches...

    Ich frage mich mit leichtem Horror, ob es immer 1-2 9+ CVE's pro Woche gibt und ich die einfach bisher nicht mitbekommen habe... Oder ob's gerade ne Ausnahmesituation ist...

    • Neu
    Zitat von Ronimjan

    Bin seit ca. 2 Wochen aktiv im Forum am mitlesen, auf Grund eines VPS Tausches...

    Ich frage mich mit leichtem Horror, ob es immer 1-2 9+ CVE's pro Woche gibt und ich die einfach bisher nicht mitbekommen habe... Oder ob's gerade ne Ausnahmesituation ist...

    Kommt etwas darauf an. Wenn du z.B. deine eigene Gitlab Instanz betreibst, dann ja (da gibt es gefühlt jede Woche einen CVE 9+ (erst gestern haben sie wieder eine glatte 10.0 mit pre-auth RCE präsentiert), aber bei anderen Projekten geht es normalerweise etwas ruhiger zu. ;) Aber irgendeine vergessene Backdoor in Cisco Switches, ein vergessenes hardcodiertes Admin Passwort oder andere öffentlich gewordene Geheimdienst-Zugänge gibt es eigentlich regelmäßg.

    CVEs gibt es zwar viele, aber die wenigstens sind tatsächlich so gravierend, dass sie tatsächlich Notfallmaßnahmen erfordern. Aber dank AI hat sich das in den letzten Monaten doch etwas geändert und wird sich sicher auch so schnell nicht mehr beruhigen.

    • Neu
    Zitat von Paul

    Kommt etwas darauf an. Wenn du z.B. deine eigene Gitlab Instanz betreibst, dann ja (da gibt es gefühlt jede Woche einen CVE 9+ (erst gestern haben sie wieder eine glatte 10.0 mit pre-auth RCE präsentiert), aber bei anderen Projekten geht es normalerweise etwas ruhiger zu. ;) Aber irgendeine vergessene Backdoor in Cisco Switches, ein vergessenes hardcodiertes Admin Passwort oder andere öffentlich gewordene Geheimdienst-Zugänge gibt es eigentlich regelmäßg.

    CVEs gibt es zwar viele, aber die wenigstens sind tatsächlich so gravierend, dass sie tatsächlich Notfallmaßnahmen erfordern. Aber dank AI hat sich das in den letzten Monaten doch etwas geändert und wird sich sicher auch so schnell nicht mehr beruhigen.

    Ups, hab noch zu dem GitLab Ding gerade dazu einen Thread erstellt, falls jmd. hier ne GitLab Instanz hosted :P

    Klingt ja... spaßig :) Denke das hier fasst es zumindest teilweise gut zusammen, wobei man natürlich immer leichter sagen kann "macht alles richtig" als dass es dann auch umzusetzen ist... https://zerodayclock.com/call-to-action (danke an die Person, die mich gestern durch den anderen CVE Thread auf diese Website aufmerksam gemacht hat, hab den Post so schnell nicht wiedergefunden)