Am 12. Juni 2026 informierte Arch Linux \u00fcber eine laufende Sicherheitslage im Arch User Repository (AUR): Es komme derzeit vermehrt zu b\u00f6sartigen Paket\u2011Adoptionen und -Updates. Das Arch\u2011Team arbeitet aktiv daran, vorhandene sch\u00e4dliche Commits zu identifizieren und weitere unerw\u00fcnschte \u00c4nderungen zu verhindern. Nutzer werden gebeten, beim Aktualisieren von AUR\u2011Paketen besonders aufmerksam zu sein.<\/p>\n
Laut der offiziellen Mitteilung beobachtet das Projekt eine hohe Anzahl von \u00dcbernahmen und Aktualisierungen in AUR\u2011Paketen, bei denen offenbar b\u00f6sartige \u00c4nderungen eingebracht wurden. Die Entwickler verfolgen die betroffenen Commits derzeit, mit dem Ziel, die Quellen der Manipulationen zu finden und weitere Eintr\u00e4ge mit Schadcode zu stoppen.<\/p>\n
Die Arch\u2011Meldung weist explizit darauf hin, dass Nutzer beim Umgang mit Anmeldung, Paket\u00fcbernahmen und Paketpflege mit Einschr\u00e4nkungen rechnen m\u00fcssen, solange an einer dauerhaften Gegenma\u00dfnahme gearbeitet wird.<\/p>\n
Das Team versucht einerseits, bereits vorhandene sch\u00e4dliche Commits ausfindig zu machen, und andererseits, zus\u00e4tzliche b\u00f6sartige Eintr\u00e4ge zu verhindern. Parallel dazu wird an einer nachhaltigen L\u00f6sung gearbeitet. Konkrete technische Ma\u00dfnahmen oder Zeitpl\u00e4ne nennt die Mitteilung nicht.<\/p>\n
Arch Linux empfiehlt allen Nutzerinnen und Nutzern von AUR\u2011Paketen dringend, beim Aktualisieren die \u00c4nderungen an PKGBUILD\u2011Dateien und an Installationsskripten genau zu pr\u00fcfen. Insbesondere w\u00e4hrend der laufenden Aktion ist erh\u00f6hte Vorsicht geboten, da Manipulationen in Build\u2011 oder Installationsskripten direkten Einfluss auf das System haben k\u00f6nnen.<\/p>\n
Wenn Sie bei einem Paket, das Sie verwenden, verd\u00e4chtige Commits entdecken, bittet Arch darum, dies dem Projektpersonal zu melden. Als Kontaktweg nennt die Meldung die aur\u2011general\u2011Mailingliste und fordert dazu auf, m\u00f6glichst viele Details zu den Beobachtungen bereitzustellen, damit die Mitarbeitenden die Vorf\u00e4lle pr\u00fcfen k\u00f6nnen.<\/p>\n
Die Ank\u00fcndigung best\u00e4tigt, dass an einer \u201epermanenteren\u201c L\u00f6sung gearbeitet wird, nennt aber keinen Zeitrahmen. Ebenso fehlen in der Mitteilung technische Details \u00fcber die Herkunft der b\u00f6sartigen \u00c4nderungen oder \u00fcber die Anzahl betroffener Pakete und Konten.<\/p>\n
Die aktuelle Warnung aus dem Arch\u2011Projekt zeigt, dass die Nutzung von Community\u2011gepflegten Repositorien auch Risiken birgt. Bis das Team die Vorf\u00e4lle abgeschlossen und Schutzmechanismen implementiert hat, hei\u00dft die Devise: aufmerksam bleiben, PKGBUILD\u2011 und Installationsskript\u2011\u00c4nderungen vor Updates pr\u00fcfen und verd\u00e4chtige Aktivit\u00e4ten \u00fcber die aur\u2011general\u2011Mailingliste melden.<\/p>\n
Datum der Meldung: 12. Juni 2026. Verfasser der Originalmeldung: Campbell Jones.<\/em><\/p>\n