Zusammenfassung

  • Woodman erwartet 2026 mehr als 500 CVE-Einträge im Erlang-, Elixir- und Gleam-Ökosystem, gegenüber etwa zehn im Vorjahr; die RIPE-Seite nennt einen Anstieg um mehr als das 50-Fache.
  • Die Arbeit verschiebt sich von der Suche zur Koordination und Reparatur. Woodman testet gebündelte Arbeitsphasen für Maintainer und bittet nutzende Unternehmen, die CNA-Arbeit mitzufinanzieren.

Ein Scanner kann einen Fehler melden. Für den Patch braucht es jemanden, der den Fall nachvollzieht, den Code ändert, testet und ein Release baut. Alistair Woodman beschrieb bei RIPE 93 genau diesen Übergang: Die Suche wird schneller, die Reparatur bleibt Arbeit in einzelnen Projekten.

Seine Schätzung: etwa zehn CVEs im Vorjahr, wahrscheinlich mehr als 500 bis Ende 2026. Die RIPE-Seite zum Vortrag spricht von über 50-fachem Wachstum. Woodman sagte, viele Fehler seien schon vorhanden gewesen und würden nun sichtbar. Die Zahl beschreibt CVE-Einträge, nicht neue Fehler oder veröffentlichte Korrekturen.

Das CNA der Erlang Ecosystem Foundation hat laut Woodman fünf Hauptverantwortliche. Vier weitere Personen auf der Liste seien Mitglieder der Community; etwa 15 Beschäftigte bei Ericsson warteten aktiv den Kern der virtuellen Maschine. Zwei Personen erledigten den größten Teil der CVE-Fälle und der KI-gestützten Recherche. Das CNA kann koordinieren und Kennungen vergeben; den Paketcode repariert dessen jeweiliges Maintainerteam.

Um wiederholte Unterbrechungen zu vermeiden, probiert das Team eine gebündelte Bearbeitung: Ein Projekt soll Zeit freihalten und mehrere Funde in einem Durchgang behandeln. Woodman nannte das einen Versuch. Vergleichsdaten zu kürzeren Reparaturzeiten legte er nicht vor.

Die veröffentlichte EEF-Richtlinie setzt zwei Arbeitstage für Empfangsbestätigung und Bewertung eines Reports an. Bereits öffentlich bekannte Schwachstellen sollen innerhalb von 24 Stunden oder schneller veröffentlicht werden. Damit wird Personal zur Sicherheitsfrage: Ein Report trifft beim CNA ein, doch ein Patch hängt von einem anderen Team mit eigener Planung ab.

Woodman schätzte das Ökosystem auf rund 20.000 Pakete, etwa 100.000 regelmäßige Nutzer und mindestens 5.000 bekannte Unternehmen. Zum Schluss bat er Firmen, die die Technologie nutzen, aber nicht auf der Sponsorenliste stehen, die Arbeit mitzutragen. Die EEF nennt Geldbeiträge und freiwillige Koordinatoren als Unterstützungswege.

Quellen