Betroffen sind Anmeldungen bei vercel.com, wo Entwickler ihre Projekte und Deployments verwalten. Vercel ist eine Cloud-Plattform zum Ausliefern und Hosten von Websites, Webanwendungen und KI-Agenten; das Unternehmen entwickelt zudem das verbreitete Web-Framework Next.js.
„DBSC funktioniert, indem ein privater Schlüssel im TPM Ihres Geräts gespeichert wird — demselben Baustein, den der Fingerabdrucksensor oder ähnliche biometrische Verfahren auf Ihrem Laptop oder Telefon nutzen — und dieser Schlüssel Ihr Cookie signiert", erklärte Ubl. „Der private Schlüssel kann nie wieder ausgelesen werden. Nicht von uns, nicht von Ihnen, nicht von der Schadsoftware."
Die Einführung ergänzt Chromes App-Bound Encryption, die es Infostealern erschwert, Cookies aus dem Browser zu extrahieren. DBSC fügt eine weitere Schutzschicht hinzu, indem es die Wiederverwendung gestohlener Sitzungs-Cookies auf fremden Geräten verhindert.
Derzeit funktioniert DBSC in Chrome unter macOS und Windows. Der Rollout erfolgt schrittweise, damit Sonderfälle im Zusammenhang mit OAuth-Anwendungen angemessen behandelt werden. Parallel führt Vercel für die Vercel CLI eine vergleichbare Schutztechnik namens DPoP ein.
Sicherheitsprüfung für Code-Änderungen
Ebenfalls neu ist Security Review, das Vercel Anfang dieser Woche als öffentliche Beta für Pro- und Enterprise-Teams gestartet hat. Die Funktion erweitert den Vercel Agent: Nach Aktivierung prüft sie bei jedem Push Code-Änderungen in angebundenen GitHub-Repositories. Das System nutzt den Code selbst sowie teamdefinierte Regeln, um Probleme wie fehlende Autorisierungsprüfungen oder offengelegte Geheimnisse zu markieren. Wenn die Berechtigungen es zulassen, kann der Vercel Agent Korrekturen validieren und einchecken.
Nach Angaben von Vercel sind Security-Review-Scans bis zum 10. November 2026 kostenlos; vom Agenten erzeugte Korrekturen werden separat abgerechnet. Ubl zufolge hat das Sicherheitsteam die Funktion bereits vor einigen Monaten intern in Betrieb genommen, wo sie sich bewährt habe — deshalb werde sie nun breit verfügbar gemacht.
Im April war Vercel von einem Sicherheitsvorfall betroffen, der einen Teil der Kunden traf. Die Angreifer verschafften sich Zugang zu Vercel-Systemen, indem sie das Google-Workspace-Konto eines Mitarbeiters bei Context.ai kompromittierten. Nach Darstellung von Vercel nutzte der Angreifer diesen Zugang, um interne Systeme zu erreichen und Umgebungsvariablen einzusehen, die nicht als sensibel markiert waren. Ein Akteur, der sich als ShinyHunters ausgab, versuchte anschließend, angeblich entwendeten Quellcode, Zugangsschlüssel und Datenbankdaten zu verkaufen.