Arch Linux AUR: Angriffswelle stoppt Paket-Übernahmen

Nach bösartigen Paket-Übernahmen hat Arch Linux das AUR-Adoptionssystem gesperrt. Was betroffen ist und wie du beim Bauen aus dem AUR sicher bleibst.

Das Arch Linux AUR ist für viele der eigentliche Grund, überhaupt zu Arch zu greifen. Doch genau dieses Community-Repository gerät gerade unter Druck: Das Arch-Team hat die Übernahme verwaister Pakete vorübergehend abgeschaltet, nachdem Angreifer diese Funktion in einer Angriffswelle missbraucht haben. Wer regelmäßig aus dem AUR baut, sollte jetzt genauer hinsehen.

Was im Arch Linux AUR passiert ist

Robin Candau kündigte die Sperre am 30. Juli 2026 im Namen des Arch-Linux-DevOps-Teams über die offizielle Mailingliste an. Der Auslöser: eine Häufung bösartiger Paket-Übernahmen samt nachgeschobener Änderungen. Angreifer schnappten sich gezielt verwaiste Pakete und bauten sie so um, dass die Quell-Arrays plötzlich fremde Binärdateien nachluden.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

Das AUR erlaubt normalerweise, dass ein registrierter Nutzer ein „orphaned” markiertes Paket adoptiert und neue Build-Anweisungen einspielt. Diese Mechanik hält aufgegebene Pakete am Leben – öffnet aber eben auch die Tür, um vertraute Paketnamen zu kapern und ihren Inhalt auszutauschen. Berichten zufolge kehrten die Angriffe zurück, nachdem erste Konten gesperrt waren – diesmal über neu angelegte Accounts.

Was abgeschaltet wurde

Zunächst sperrte Arch am 30. Juli nur den Adoptions-Mechanismus. Zwei Tage später zog das Team nach: Laut einer Folgemeldung von Candau vom 1. August sind vorerst auch Paket-Pushes komplett deaktiviert. Maintainer können ihre AUR-Pakete also derzeit nicht aktualisieren. Einen Zeitplan für die Rückkehr der Funktionen nennt das Team nicht – es kündigt lediglich eine weitere Meldung an, sobald es möglich ist.

Ebenso entscheidend: Der Vorfall betrifft ausschließlich das AUR, nicht die offiziellen Arch-Repositories. Das AUR ist eine von der Community betriebene Sammlung von Build-Skripten, kein offiziell gepflegtes Binär-Repo. Genau deshalb raten die Entwickler seit jeher, den Inhalt eines Pakets vor dem Bauen zu prüfen.

Was du jetzt beachten solltest

Installieren und Aktualisieren bleibt möglich – aber mit wacherem Blick. Vor jedem Build lohnt sich die kurze Kontrolle der entscheidenden Stellen:

PKGBUILD auf ungewöhnliche Befehle oder neue Download-Quellen prüfen.
Install-Skripte lesen, bevor sie laufen.
Source-URLs und neu hinzugekommene Binärdateien hinterfragen.

Wer verdächtige Adoptionen oder Commits entdeckt, soll sie dem Arch-Team melden. Der aktuelle Fall ist übrigens nicht der erste: Bereits am 12. Juni 2026 hatte Arch wegen einer größeren AUR-Sicherheitswelle neue Registrierungen blockiert und Schadpakete bereinigt.

Die Lehre ist dieselbe wie bei jeder Software-Lieferkette: Vertraue keinem Paket blind, nur weil der Name bekannt ist. Auch andere Ökosysteme ziehen deshalb die Zügel an – etwa der Paketmanager npm, der mit Version 12 Install-Skripte standardmäßig blockiert. Für Arch-Nutzer heißt das konkret: Ein Blick ins PKGBUILD kostet zwei Minuten und kann eine kompromittierte Maschine verhindern.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden