Zusammenfassung

  • Der offizielle EEF-CVE-Index enthielt am 30. Oktober 370 Einträge mit Veröffentlichungsdatum 2026 und neun aus 2025. Das sind rund 41-mal so viele veröffentlichte Meldungen; Korrekturen oder KI-Funde zählt die Zahl nicht.
  • Auf der RIPE 93 erwartete Alistair Woodman für 2026 mehr als 500 CVEs und bat die Unternehmen, die Sicherheit der von ihnen genutzten Pakete mitzufinanzieren.

Woodman beendete seinen Vortrag auf der RIPE 93 mit einer Geldfrage an Unternehmen, die Erlang-, Elixir- und Gleam-Pakete einsetzen: Sie sollen die Sicherheitsarbeit des Ökosystems mittragen. Drei Tage später führte der öffentliche Index der Erlang Ecosystem Foundation (EEF) bereits 370 CVEs mit Datum aus 2026. Er zeigt, wie viele Meldungen veröffentlicht wurden. Wann eine korrigierte Paketversion die Nutzer erreicht, bleibt darin offen.

Am 30. Oktober um 08:59 UTC standen 370 Einträge für 2026 und neun für 2025 im Index. Das Verhältnis liegt bei etwa 41 zu eins. Das Verzeichnis nennt weder die korrigierte Version pro Schwachstelle noch die Zeit bis zur Prüfung. Sichtbar ist das Veröffentlichungsdatum der Meldung, nicht der Zeitpunkt, an dem das Paket wieder eine geprüfte Version hat.

Woodman nannte seine Prognose drei Tage zuvor in der Security Working Group der RIPE 93. Die EEF decke mehr als 20.000 Elixir-, Erlang- und Gleam-Pakete ab, sagte er. Er schätzte rund 100.000 regelmäßige Nutzer und mindestens 5.000 Unternehmen, die der Stiftung bekannt sind. Für das Vorjahr nannte er etwa zehn CVEs; 2026 sollten es mehr als 500 werden. Das entspreche einer mehr als fünfzigfachen Arbeitslast. Die Prognose beschreibt den erwarteten Aufwand des Teams; der Index zählt veröffentlichte CVE-Einträge.

Woodman sagte, die Schwachstellen hätten bereits bestanden. KI-gestützte Analyse erleichtere ihre Entdeckung. Danach wartet die eigentliche Paketarbeit: Maintainer müssen den Bericht prüfen, den Fehler beheben, eine Version veröffentlichen und kontrollieren, ob die Änderung wirkt.

Woodman beschrieb fünf verantwortliche Personen für die CNA-Arbeit der EEF; zwei erledigten den größten Teil der CVE-Arbeit und KI-Forschung. Die Stiftung testet, Funde projektweise zu bündeln. Maintainer können dadurch Zeit blocken und mehrere Probleme in einem Arbeitsgang bearbeiten. Die Entdeckung kommt schneller in die Liste, aber eine veröffentlichte Korrektur braucht weiterhin Menschen, die den Code betreuen.

Die öffentliche EEF-Richtlinie nennt zwei Fristen am Anfang: eine Eingangsbestätigung innerhalb von zwei Werktagen und die Bewertung innerhalb von zwei Werktagen nach der Bestätigung. Antwortet ein Maintainer 14 Tage lang nicht auf einen nicht öffentlichen Bericht zu einem Hex-Paket im CNA-Geltungsbereich, will die EEF mit der CVE-Veröffentlichung fortfahren. Eine koordinierte Offenlegung kann bis zu drei Monate dauern. Diese Fristen regeln Eingang und Offenlegung; sie messen nicht, wann eine korrigierte Version verfügbar wird.

Der öffentliche Index enthält Kennung, Titel, Details sowie Veröffentlichungs- und Änderungsdatum. Eine Verbindung zur Antwort des Maintainers, zur korrigierten Paketversion und zum Prüfzeitpunkt fehlt pro Eintrag. Mit dieser Verbindung ließe sich ablesen, wie lange Nutzer nach einer Meldung noch eine anfällige Version einsetzen.

Woodman sitzt im EEF-Vorstand und bat die Unternehmen, die von diesem Paketökosystem profitieren, die Sicherheitsarbeit mitzufinanzieren. Viele Organisationen nutzen die Pakete; der Aufwand für Prüfung und Reparatur konzentriert sich bei den Menschen, die den Code betreuen. Eine veröffentlichte CVE macht das Problem sichtbar. Erst eine ausgelieferte und eingesetzte Korrektur ändert den laufenden Dienst. Die nächste nützliche Kennzahl sollte diesen Weg erfassen.

Quellen: RIPE-93-Sitzung; offizielles Transkript; EEF-Seiten zu CNA, Geltungsbereich, Sicherheitsrichtlinie und CVE-Index; EEF-Vorstand.