Tools This Week: 6. November 2026 - OpenSSH 10.6p2

Die Liste von Tools This Week hat diese Woche sieben Entwickler-Tools, und zwei davon sind Sicherheits-Releases, die du jetzt installieren solltest. OpenSSH 10.6p2 schließt eine Passwort-Umgehung auf Systemen wie Alpine, und Better Auth 1.7.16 behebt 12 Sicherheitsmeldungen. Fedora 45 ist erschienen, KDE hat ein neues Terminal namens Kwi gezeigt, und Google hat sein Videomodell billiger gemacht. Außerdem kamen zwei große Modelle, eines heute nutzbar und eines als rohe Gewichte. Diese Ausgabe deckt den 31. Oktober bis Freitag, den 6. November ab.

Die Tools der Woche im Überblick

Tool	Was es macht	Preis
OpenSSH 10.6p2	SSH-Sicherheits-Release mit Workaround gegen eine Passwort-Umgehung	Preis nicht angegeben
Better Auth 1.7.16	TypeScript-Bibliothek für Anmeldungen, 12 Sicherheitsfixes	Preis nicht angegeben
Fedora Linux 45	Neues Fedora-Release mit Stratis im Installer	Preis nicht angegeben
Kwi	KDE-Terminal auf Basis von Ghosttys libghostty-vt	Kostenlos; GPL und LGPL
Gemini Omni 1.2 Flash	Videomodell mit 15-Sekunden-Clips	0,07 $ pro Sekunde 720p-Video
Inkling 2 Small	Modell mit 594 Milliarden Parametern auf der Plattform Tinker	Preis nicht angegeben
ERNIE 5.5 Flash Base	Basismodell mit 280 Milliarden Parametern und offenen Gewichten	Baidus eigene Modelllizenz

Sicherheits-Releases

OpenSSH 10.6p2 erschien am 5. November. Die Release Notes nennen es einen "kritischen Sicherheits-Workaround" für eine Umgehung der Passwort-Anmeldung in sshd, dem SSH-Server. Betroffen sind Linux-Systeme, die mit musl libc gebaut sind und PAM, das übliche Anmeldesystem, abgeschaltet haben. Der bekannteste Fall ist Alpine Linux. Das Release erlaubt außerdem das Post-Quanten-Signaturverfahren ssh-mldsa44-ed25519 für Zertifizierungsstellen. Laut den Maintainern kommen viele Sicherheitsmeldungen herein, oft mit KI-Hilfe, und sie wollen vorerst öfter Releases herausbringen. Wer betroffen ist, steht in unserem Artikel zu OpenSSH 10.6p2.

Better Auth, eine Anmelde-Bibliothek für TypeScript-Apps, hat am 3. November Version 1.7.16 veröffentlicht, dazu 1.8.0-beta.5 für die Beta-Linie. Sie behebt 12 Sicherheitsmeldungen: eine kritische, zwei hohe, acht mittlere und eine niedrige. Die kritische steckt im Expo-Plugin, wo ein Autorisierungs-Proxy Werte signieren kann, die er nicht ausgestellt hat. Die zwei hohen erlauben es, Telefonnummern vor der Bestätigung zu beanspruchen. Und bei der Desktop-Anmeldung per Electron kann das Server-Geheimnis zurückkommen und die Zwei-Faktor-Anmeldung übersprungen werden. Das Projekt rät, better-auth und alle @better-auth-Pakete zusammen zu aktualisieren, und einige Plugin-Fixes brauchen auch eine Konfigurationsänderung.

Betriebssysteme und Terminals

Fedora Linux 45 wurde am 3. November angekündigt. Die benutzerdefinierte Partitionierung im Installer kann jetzt Stratis-Pools und -Dateisysteme anlegen, und Kickstart-Dateien bekommen die Option --type=stratis. Die Plugins NetworkManager-vpnc und NetworkManager-fortisslvpn fallen weg. Die Änderung, die die meisten Entwickler merken werden, ist RPM 6.1, das unsignierte Pakete ablehnt. Die Fehlermeldung und die Lösungen stehen in unserem Artikel zu Fedora 45.

Kwi ist ein neues Terminal für KDE Plasma und andere Desktops, gebaut auf libghostty-vt, dem Terminal-Kern aus dem Ghostty-Projekt. Eine stabile Version gibt es noch nicht, aber ein nächtliches Flatpak ist verfügbar. Zum Bauen braucht man Qt 6.10 oder neuer und libghostty-vt 1.4.0 oder neuer. Sein Entwickler verspricht 3- bis 35-mal mehr Tempo als Konsole, wie unser Kwi-Artikel erklärt.

KI-Modelle

Gemini Omni 1.2 Flash von Google DeepMind, erschienen am 5. November, erzeugt und bearbeitet Videoclips von 3 bis 15 Sekunden, statt bis zu 10 Sekunden bei Omni 1.1. Laut Google sind die Preise 30 % niedriger, bei 0,07 $ pro Sekunde in 720p. Man kann in 360p oder 720p einen Entwurf machen und dann auf 1080p oder 4K hochskalieren. Das Modell ist in der Gemini API und auf Google Cloud allgemein verfügbar.

Thinking Machines Lab hat Inkling 2 Small am 5. November veröffentlicht. Es ist ein Mixture-of-Experts-Modell mit 594 Milliarden Parametern, von denen pro Anfrage 17 Milliarden aktiv sind. Auf DeepSWE v1.1, einem Coding-Benchmark, erreicht es laut Firma 72,1 %. Nutzbar ist es jetzt über die Plattform Tinker. Die vollständigen Gewichte sollen nach externen Sicherheitstests unter der Apache-2.0-Lizenz folgen.

Baidu hat ERNIE 5.5 Flash Base am 5. November veröffentlicht, mit 280 Milliarden Parametern, davon 14 Milliarden aktiv pro Token. Es ist ein Basismodell, der Checkpoint am Ende des Vortrainings, also zum Feintuning gedacht und nicht zum Chatten. Es wurde mit 33,5 Billionen Tokens trainiert und unterstützt beim Feintuning und bei der Inferenz einen Kontext von 1 Million Tokens. Die Gewichte gibt es in FP8 und BF16 unter dem ERNIE 5.5 Flash Base Model License Agreement v1.0.

Was das für Entwickler bedeutet

• Zuerst SSH auf Alpine-Images patchen. Wenn ein Container oder Server Alpines OpenSSH mit Passwort-Logins betreibt, aktualisiere ihn und starte ihn neu.
• Alle Better-Auth-Pakete auf einmal aktualisieren. Gemischte Versionen von better-auth und seinen Plugins können einen reparierten Kern neben einem ungepatchten Plugin lassen.
• Fedora 45 mit den eigenen Repositorys testen. Lokale RPMs und unsignierte Drittanbieter-Repositorys sind die Stellen, an denen RPM 6.1 dich stoppt.
• Omni 1.2 Flash pro Clip kalkulieren. Multipliziere die Länge jedes Clips mit 0,07 $ für 720p. Plane das Hochskalieren extra ein, denn Googles Beitrag nennt dafür keinen Preis.
• Vor dem Einsatz die ERNIE-Lizenz lesen. Die Model Card nennt den Vertrag, aber nicht seine Bedingungen für kommerzielle Nutzung.

Ein Tool geht, statt zu kommen: Conductor Cloud schließt am 20. November, wie unser Conductor-Artikel erklärt. Die vorige Ausgabe ist Tools This Week: 30. Oktober 2026. Die aktuelle Liste steht immer auf der Seite Tools This Week.