Neue Feature-Updates von Firefox erscheinen bisher in der Regel alle vier Wochen. Beginnend mit Firefox 154 werden neue Funktions-Updates im Abstand von jeweils zwei Wochen erscheinen.
Zwischen zwei Funktions-Updates von Firefox liegen bisher normalerweise exakt vier Wochen. Nachdem Mozilla im Mai bereits damit gestartet hat, mindestens ein Korrektur-Update pro Woche zu veröffentlichen, erhöht Mozilla nun auch bei den Feature-Updates das Tempo. Ab Firefox 154, dessen Veröffentlichung für den 18. August 2026 geplant ist, werden nur noch zwei Wochen zwischen den Major-Releases liegen. Demnach wird Firefox 155 bereits am 1. September 2026 erscheinen. Damit zieht Mozilla mit Google gleich, die ab September ebenfalls auf einen Zwei-Wochen-Zyklus für Chrome umstellen werden.
Ausnahmen kann es natürlich weiterhin geben. Auch in diesem Jahr ist es wieder geplant, über den Jahreswechsel eine kleine Pause einzulegen. So werden zwischen Firefox 162 am 8. Dezember 2026 und Firefox 163 am 12. Januar 2027 fünf Wochen Abstand liegen.
Eine weitere Auffälligkeit in Mozillas aktualisiertem Veröffentlichungskalender: Die Unterstützung von Firefox ESR 115 für veraltete Versionen von Windows und macOS wurde zuletzt bis August 2026 zugesagt. Der neue Kalender kommuniziert eine Verlängerung der Lebenszeit von Firefox ESR 115 bis März 2027.
Messenger führen zunehmend Benutzernamen ein, damit ihre Nutzer nicht allen Kontakten die Telefonnummer preisgeben müssen. Das ist zweifellos ein Schritt in die richtige Richtung. Für konsequenten Privatsphäreschutz reicht es jedoch nicht. Dazu muss Anonymität bereits Teil der Systemarchitektur sein.
Linux Mint 23 könnte für Cinnamon einen Wendepunkt markieren. Wayland verlässt mit Cinnamon 6.8 die experimentelle Phase. X11 und Wayland werden künftig vollständig unterstützt. Die Veröffentlichung ist für Weihnachten 2026 vorgesehen. Besonders die Fensterverwaltung unter Wayland wurde deutlich verbessert. Neue Fenster erscheinen zuverlässiger an der richtigen Position. Auch Applet Menüs werden genauer platziert und skaliert. […]
Pi-hole erhält ein wichtiges Update mit Sicherheitsverbesserungen. Gleich sechs bekannte Schwachstellen wurden erfolgreich geschlossen. Zusätzlich verbessert das Entwicklerteam mehrere alltägliche Verwaltungsfunktionen. Nutzer sollten die Aktualisierung daher zeitnah installieren. Die neuen Versionen betreffen FTL (v6.7), Weboberfläche (v6.6) und Core (v6.4.3). Besonders auffällig sind die überarbeiteten Fehlermeldungen der Weboberfläche. Probleme werden jetzt verständlicher und freundlicher beschrieben. Kryptische […]
Mozilla und der walisische Fußballverein Wrexham AFC haben eine mehrjährige Partnerschaft geschlossen. Ab der kommenden Saison wird Firefox die Trikots der Herren- sowie Frauenmannschaft zieren.
Der Wrexham AFC ist ein Fußballverein aus Wales, der nach der Übernahme durch die Schauspieler Ryan Reynolds und Rob Mac drei Aufstiege in Folge hingelegt hat, ab der kommenden Saison in der Championship spielt, der zweithöchsten Spielklasse im englischen Fußball, und nun von der Premier League träumt.
Dabei wird ab sofort „Firefox” auf den Trikots sowohl der Herren- als auch der Damenmannschaft stehen. Mozilla beschreibt den 160 Jahre alten Verein als einen, der beinahe für immer verloren gegangen wäre, von der Gemeinschaft, die ihn liebte, gerettet wurde und sich seitdem stetig nach oben gearbeitet hat. In dieser Geschichte erkennt sich Mozilla mit Firefox wieder. Mozilla beschreibt den Wrexham AFC und Firefox als zwei Herausforderer-Marken, die durch ihren unkonventionellen Ansatz und ihre Treue zu sich selbst leidenschaftliche globale Gemeinschaften aufgebaut haben. Seitens Wrexham heißt es: „Wir lieben Geschichten über Außenseiter, und sowohl Wrexham als auch Firefox wissen, wie es ist, gegen Giganten antreten zu müssen.”
Die Partnerschaft soll mehrere Jahre andauern und wird sich an diesem Wochenende zum ersten Mal zeigen, wenn der Wrexham AFC zu einem Freundschaftsspiel nach Krakau reist.
Die anstehende Android Developer Verification greift tief in das freie Android-Ökosystem. Die Entwickler von LineageOS sehen Googles Kontrollzuwachs skeptisch.
Thunderbird ordnet seine geplanten Zusatzdienste grundlegend neu. Künftig werden sämtliche Angebote unter Thundermail zusammengeführt. Damit soll die Abgrenzung zum bekannten Mail-Client deutlicher werden. Bisher liefen die geplanten Dienste unter Thunderbird Pro. Die Entwickler ändern diesen Namen aufgrund direkter Nutzerrückmeldungen. Thundermail bezeichnet künftig nicht mehr nur den Maildienst. Der Begriff umfasst dann das gesamte zusätzliche Serviceangebot. […]
Der Werbe- und Tracking-Blocker Pi-hole legt ein Update auf FTL v6.7, Web v6.6 und Core v6.4.3 vor, das neben sechs geschlossenen Sicherheitslücken auch Verbesserungen wie einen überarbeiteten DHCP-Editor für statische Zuweisungen mitbringt.
KDE Plasma 6.6.6 beendet die bisherige stabile Entwicklungsreihe. Das Update liefert zahlreiche Korrekturen für bestehende Installationen. Neue Funktionen spielen diesmal bewusst keine große Rolle. Stattdessen verbessert KDE Stabilität, Sicherheit und Zuverlässigkeit. Besonders KWin erhält eine umfangreiche Ladung wichtiger Verbesserungen. Notebooks aktivieren Bildschirme nach dem Aufklappen nun zuverlässiger. Natürliches Scrollen funktioniert bei Fensteraktionen wieder wie erwartet. […]
Microsoft stellt Azure Linux 4.0 erstmals als frei installierbares System bereit. Die Distribution war lange nur für Azure gedacht, soll nun aber auch auf eigenen Servern laufen. Azure Linux basiert auf Fedora und nutzt dessen Paketwelt. Microsoft passt die Komponenten für Azure an und liefert ein gehärtetes Kernel‑Setup. Die ISO‑Images stehen öffentlich via GitHub bereit […]
Tuxedo OS ist die Hausdistribution des Augsburger Hardware-Herstellers Tuxedo. Bislang war Ubuntu LTS die Basis des Systems, doch der Aufwand der Aktualisierung erhöhte sich stetig und Canonicals strategische Ausrichtung bereitete zunehmend Sorgen um die Entwicklung des Betriebssystems. Debian Testing wird nun Basis.
Mit dem Update auf Firefox 152.0.5 führt Mozilla @ecosia als Schlüsselwort für die Adressleiste ein, um eine Suche bei der Suchmaschine Ecosia zu starten.
Die Einstellungen zeigten keine gespeicherten Kreditkarten mehr an, sobald es eine gespeicherte Kreditkarte ohne Ablaufdatum gab.
Außerdem gab es noch eine Korrektur für das schrittweise ausgerollte „intelligente Fenster”.
TUXEDO OS hat sich in den vergangenen Jahren zu einer beliebten Distribution entwickelt. Jetzt geben die Entwickler einen Wechsel des Unterbaus von Ubuntu LTS zu Debian Testing bekannt.
TUXEDO Computers stellt seine Distribution neu auf und verabschiedet sich von Ubuntu. Künftig baut TUXEDO OS auf Debian Testing und soll damit flexibler und aktueller werden. Der Schritt folgt einer Phase langsamerer Updates. Besonders Plasma blieb hinter dem aktuellen Stand zurück. Die Pflege moderner Pakete auf einer älteren Ubuntu‑Basis wurde zunehmend schwieriger und kostete viel […]
Ubuntu war auf ARM64 lange mit Einschränkungen verbunden. In einem aktuellen Rückblick zeigt Canonical nun, wie viele Lücken innerhalb eines Jahres geschlossen wurden. Ubuntu 26.04 LTS markiert dabei einen wichtigen Schritt hin zur Gleichbehandlung mit klassischen PC-Systemen.
KDE arbeitet weiter an Plasma 6.8 und plant eine Reihe kleiner, aber spürbarer Verbesserungen. Die kommende Version soll Mitte Oktober erscheinen und bringt optische Feinschliff‑Elemente sowie wichtige Fehlerkorrekturen. Die Entwickler überarbeiten mehrere Animationen im Desktop. Der hüpfende App‑Startindikator wirkt nun natürlicher und läuft mit höherer Bildrate. Auch Benachrichtigungen bewegen sich weicher und fügen sich besser […]
GNOME stellt die Alpha von Version GNOME 51 vor und zeigt erste Neuerungen für die kommende Desktop‑Generation. Die Veröffentlichung richtet sich an Tester und soll einen frühen Blick auf zentrale Änderungen geben. Für den Tagesgebrauch ist diese Version mitnichten gedacht. Die neue Ausgabe trägt den Namen A Coruña und führt viele technische Verbesserungen ein. Dazu […]
Beim Open Document Format handelt es sich um einen Standard für Office-Dokumente. Dem gegenüber steht das Microsoft-Format OOXML. Dieser Artikel klärt über die Hintergründe auf.
Mecklenburg‑Vorpommern stärkt seine digitale Unabhängigkeit und führt eine landesweite Kollaborationsplattform auf Basis von Nextcloud ein. Das Projekt soll langfristig zehntausende Beschäftigte erreichen und die Kontrolle über zentrale IT‑Strukturen sichern. Die neue Lösung wird vollständig durch die DVZ M‑V GmbH betrieben. Das Land nutzt eigene Server und behält damit die Hoheit über Daten und Abläufe. Die […]
Die neue Claude‑Desktop‑App erreicht jetzt auch Linux. Anthropic öffnet damit erstmals den Weg des beliebten Entwickler-KI-Assistenten für Ubuntu und Debian. Entwickler erhalten eine native Lösung ohne Bastelei, die in der Beta jedoch noch nicht alle Funktionen besitzt. Die Anwendung jedoch schon viele Bereiche ab. Chat, Cowork und Code stehen bereit. Dazu kommen parallele Sitzungen und […]
Das Fedora Projekt zieht die Notbremse. Die Diskussion um einen speziellen KI‑Entwickler‑Desktop wird vorerst beendet und der Community‑Initiativen‑Prozess pausiert vollständig. Auslöser war ein Vorschlag für eine vorkonfigurierte Umgebung für lokale KI‑Workloads. Die Idee sollte Hardware‑Beschleunigung vereinfachen und Entwicklern einen schnellen Einstieg bieten. Doch die Reaktionen fielen sehr unterschiedlich aus. Streitpunkte reichten von der Rolle proprietärer […]
In diesem Artikel thematisiere ich, wie sich die Anzahl der entdeckten Schwachstellen in den letzten Jahren entwickelt hat und ob wir noch von Zero-Day sprechen, oder eher von Zero-Hour oder Zero-Minute.
Ich werde darstellen, warum es in meinen Augen bis auf wenige Ausnahmen nicht mehr angemessen ist, nur noch einmal im Jahr oder quartalsweise zu patchen und unter Schmerzen eingeübte Prozesse heute nicht mehr zeitgemäß erscheinen.
Anschließend werde ich euch bitten, eure Erfahrungen anonym mit mir zu teilen. Ich erhoffe mir, so einen besseren Überblick über die Situation da draußen in den Rechenzentren, Serverräumen und IT-Betriebseinheiten zu gewinnen. Mehr dazu unten im Text.
Entwicklung der Bedrohungslage
Die Anzahl der pro Jahr gemeldeten Schwachstellen (CVE) steigt rasant, wie folgendes Diagramm in Abbildung 1 verdeutlicht.
Während sich die Anzahl der CVE pro Jahr erstmalig im Zeitraum von 2016 bis 2017 von ca. 6.500 auf ca. 14.500 mehr als verdoppelt hat, kam es zuletzt in den Jahren 2021 bis 2024 zu einer Verdopplung. Diesmal hat sich die Anzahl jedoch von ca. 20.000 auf knapp über 40.000 gesteigert. Und diese Zahl steigt weiter. So wurden für das erste Quartal 2026 bereits 15.176 CVE gezählt.
Wenn sich dieser Trend fortsetzt, werden wir das Jahr 2026 mit deutlich mehr als 60.000 registrierten CVE abschließen. Das wären 5.000 CVE/Monat oder 164 CVE/Tag.
Gleichzeitig sinkt die mittlere Zeit von der Veröffentlichung eines CVE bis zu einem Exploit, wie Abbildung 2 zeigt.
Abbildung 2: Die mittlere Zeit zwischen der Veröffentlichung einer Schwachstelle und des Exploits sinkt stetig (schwarze Linie). Quelle: https://zerodayclock.com/ (letzter Abruf: 2026-06-28)
Lag die mittlere Zeit zwischen der Veröffentlichung eines CVE und des Exploits 2023 noch bei über 4 Monaten, ist diese auf 21,5 Tage im Jahr 2025 gesunken. Für 2026 wird diese sogar mit nur noch 3 Stunden angegeben.
Noch bedrohlicher wirkt die Lage, wenn man sich ansieht, für wie viele CVE noch am gleichen Tag oder sogar vor deren Veröffentlichung ein Exploit bekannt wird (siehe Abbildung 3). Man spricht hier auch von Zero-Day-Exploits.
Abbildung 3: Rate der Zero-Day-Exploits, gemessen in Prozent an der Anzahl CVE pro Jahr (rote Linie). Quelle: https://zerodayclock.com/ (letzter Abruf: 2026-06-28)
Im Jahr 2024 gab es für 47,9% der CVE einen Zero-Day-Exploit. Im Jahr 2025 war das bereits für mehr als die Hälfte der Fall, nämlich 53,6 %. Das Jahr 2026 ist noch in vollem Gange. Die Rate der Zero-Day-Exploits liegt mit bisher 76,9% nochmals deutlich höher.
Es wird für die Paketbetreuenden, Upstream-Entwickelnden und Software-Herstellenden Menschen immer herausfordernder, einen Patch bereitzustellen, bevor ein Exploit existiert und aktiv gegen verwundbare Systeme eingesetzt wird.
Klassische Ansätze funktionieren nicht mehr
Aus meiner beruflichen Tätigkeit als Red Hat TAM und als Sysadministator bei verschiedenen Unternehmen ist mir bekannt, dass unterschiedliche Unternehmen und Organisationen sehr verschieden mit Schwachstellen und deren Behandlung umgehen.
Allen ist gemein, dass sie für ihre Anwendungen Wartungsfenster vereinbaren, in denen z.B. Sicherheitsaktualisierungen installiert werden, um vorhandene Schwachstellen zu schließen. Einige haben einen Patchday pro Jahr, manche patchen einmal im Quartal und wieder andere monatlich. Einzelne Unternehmen können dies sogar noch schneller.
Die einen haben regelmäßig wiederkehrende Wartungsfenster, die anderen müssen diese bei Bedarf anmelden. Einige haben schlanke Prozesse, einige nutzen Change-Management nach ITIL.
Um die Integrität, Verfügbarkeit und Vertraulichkeit der eigenen Informationssysteme und deren umgebener Infrastruktur zu schützen, sind zwei Grundsätze seit vielen Jahren allgemein bekannt:
Installiere verfügbare Sicherheitsaktualisierungen so schnell wie möglich.
Die beiden Grundsätze stehen nicht in einer Entweder-Oder-Beziehung. Sie sollten beide berücksichtigt werden.
In meinen Augen ist es längst nicht mehr zeitgemäß, Sicherheitsaktualisierungen jährlich oder quartalsweise zu installieren. Eine kleine Ausnahme mögen hier Systeme bilden, deren Nutzerkreis stark eingeschränkt ist und auf die ausschließlich über wenige sehr gut gesicherte Kanäle zugegriffen werden kann.
Um es deutlich zu sagen: „Für wochen- oder tagelange Change-Management-Prozesse bleibt keine Zeit. Wer weiterhin so arbeitet, riskiert die Informationssicherheit seiner Umgebung.“
Wer alle seine Systeme einmal im Monat wartet und neustartet, bewegt sich in meiner Wahrnehmung aktuell im Mittelfeld dessen, was man im Feld findet. Doch auch hierauf darf sich niemand ausruhen. Existiert zu einem CVE ein Exploit und ein Patch, erscheint es fahrlässig, bis zu einem Monat mit dessen Installation zu warten.
Leider fehlt etlichen Unternehmen bzw. Organisationen noch immer die Fähigkeit schnell festzustellen, ob ihre IT-Dienste korrekt ausgeführt werden. Patch-Management-Zyklen sehen hier meist vor, dass zuerst einige Systeme aktualisiert werden, dann wartet man 1-2 Wochen, ob jemand meckert und dann aktualisiert man die restlichen Systeme. Das ist nicht mehr zeitgemäß.
Aus der eingangs beschriebenen Bedrohungslage folgend muss das neue Ziel lauten, jedes individuelle System an jedem Tag aktualisieren und neustarten zu können. Die Funktion von IT-Diensten ist durch automatisierte Mechanismen wie z.B. Monitoring oder automatisierte Tests zu verifizieren, um schnell mit der nächsten Stage fortfahren zu können. Wer dieses Ziel noch nicht erreicht hat, sollte sich schnellstens auf den Weg machen. Selbst wenn die 100% unerreichbar scheinen, ist jedes System, das man schnell absichern kann, ein deutlich geringeres Risiko für die eigene Informationssicherheit.
Wo Sicherheitsaktualisierungen nicht zeitnah eingespielt werden können, lässt sich das Risiko durch Verteidigung in der Tiefe minimieren. Kommunikationsverbindungen von und zu betrachteten Systemen sind zu überwachen und ggf. zu limitieren. Doch auch diese Maßnahmen müssen schnell verfügbar und umsetzbar sein. Wer erst zwei Wochen diskutieren muss, ob man den Zugriff auf einen Dienst einschränken könne, müsse, sollte, handelt nicht angemessen.
Zusammenfassend sehe ich unklare Verantwortlichkeiten, langwierige Abstimmungsprozesse und manuelle Tätigkeiten als Gift und Risiko für die Informationssicherheit. Klare Strukturen, geklärte Verantwortlichkeiten und Automation sind kein nice-to-have, sondern ein MUSS.
Wie geht ihr damit um?
Nun möchte ich von euch wissen: „Patcht ihr schon oder prozessiert ihr noch?“
Ich bin sehr daran interessiert zu erfahren, wie es in den Umgebungen meiner Lesenden und derer Bekannten zugeht. Daher freue ich mich sehr, wenn ihr (gern anonym) euer Patch-Management-Konzept, die Branche eures Unternehmens und die ungefähre Größe eurer Umgebung mit der Gemeinschaft bzw. mir teilt.
Ihr habt euer Patch-Management im eigenen (Firmen-)Blog beschrieben? Teilt bitte den Link in den Kommentaren.
Sendet mir gerne eine E-Mail an patchmanagement@my-it-brain.de.
Beschreibt euer Patch-Management in den Kommentaren unter diesem Beitrag.
Evtl. werde ich eure Beispiele anonymisiert unter ausschließlicher Nennung der Branche (falls bekannt) in Vorträgen, Diskussion und weiteren Arbeiten zu diesem Thema verwenden. Bitte schreibt ausdrücklich dazu, wenn ihr dies nicht wünscht.
Ich freue mich auf eure Beiträge, Zusendungen und wenn ihr diesen Artikel in euren Netzwerken teilt.
Anmelden
