Aktuelle Sicherheitslücken

Aktuelle Sicherheitslücken: Wir prüfen und schützen Ihre Systeme
 

In Node.js und PHP wurden Sicherheitslücken bekannt. Beide Technologien bilden die Grundlage vieler Webseiten und Webanwendungen. Da die Schwachstellen in den Laufzeitumgebungen selbst liegen, können auch Anwendungen betroffen sein, deren eigener Programmcode einwandfrei ist.

Was wir für Sie tun

Seit Bekanntwerden der Sicherheitslücken prüfen wir alle Eigenprodukte und von uns betreuten Systeme auf betroffene Versionen. Wir installieren verfügbare Sicherheitsupdates mit höchster Priorität. Ist ein sofortiges Update nicht möglich, sichern wir die Systeme mit zusätzlichen Maßnahmen ab, beispielsweise durch eine vorübergehende Abschottung vom Netz. Während der Arbeiten kann es zu Wartungsfenstern oder kurzen Einschränkungen einzelner Dienste kommen. Wir bitten um Ihr Verständnis.

1. Sicherheitslücken in Node.js

Am 21. Oktober 2026 veröffentlichte das Node.js-Projekt Sicherheitsupdates für zehn Schwachstellen. Besonders schwerwiegend ist ein Fehler im Brotli-Decoder (CVE-2026-111497). Werden manipulierte, komprimierte Daten verarbeitet, kann dies zum Absturz einer Anwendung, zur Offenlegung von Speicherinhalten oder zur Ausführung fremden Codes führen.

Betroffen sind die Node.js-Versionsreihen 22.x, 24.x und 26.x. Die Sicherheitslücke ist in den Versionen 22.23.4, 24.22.1 und 26.12.1 behoben. 

Für folgende Eigenprodukte und Partner-Lösungen können wir bereits Entwarnung geben:

• Unsere eigenen Websites
• CAFM: SPARTACUS Facility Management®
• NuPc0nnects & NuPTools, NuPAutomat
• PLM: PRO.FILE & APplusPLM
• DMS: d.3
• CAM: hyperMILL

Wir aktualisieren laufend die Liste, sobald die Prüfung erfolgreich abgeschlossen wurde oder notwendige Updates vorgenommen wurden.

2. Sicherheitslücken in PHP

Ebenfalls am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt: CVE-2026-109618 und CVE-2026-109619, auch „PHP2Shell“ genannt. PHP ist die technische Grundlage vieler Webseiten und Webanwendungen, etwa von WordPress-Seiten, Webshops und Kundenportalen. Deshalb können auch Anwendungen betroffen sein, deren eigener Programmcode keine Fehler enthält.

Für folgende Eigenprodukte und Partner-Lösungen können wir bereits Entwarnung geben:

• Unsere eigenen Websites und digitalen Services auf Basis unserer eigenen Plattform
• CAFM: SPARTACUS Facility Management®
• ERP: APplus
• NuPc0nnects & NuPTools, NuPAutomat
• PLM: PRO.FILE & APplusPLM
• DMS: d.3
• MES: NuPMES & APplusMES
• CAD/PDM/BIM: alle Autodesk-Produkte, die von uns vertrieben werden
• F&R: Diamant 
• IT-Service: SonicWall, Qiata, Reddoxx, Swyx, 3CX, Veeam & PRTG

Wir aktualisieren laufend die Liste, sobald die Prüfung erfolgreich abgeschlossen wurde oder notwendige Updates vorgenommen wurden.

Was Sie selbst prüfen sollten

Systeme, die nicht von uns betreut werden, können wir nicht bewerten. Prüfen Sie deshalb zeitnah, ob in Ihrem Unternehmen weitere Anwendungen im Einsatz sind, zum Beispiel Webseiten, WordPress-Installationen, Webshops, Portale sowie Test-, Entwicklungs- oder Demo-Umgebungen. Fragen Sie bei Ihrem Hoster oder Anbieter nach, ob die Sicherheitsupdates bereits installiert wurden.

Bei Fragen oder Unterstützungsbedarf erreichen Sie unser Service-Team jederzeit im Kundenportal oder über unsere Support-Seite.