Produkt-Demo

Quanos SIS.one Sicherheitshinweise

März 2026

Dringendes Sicherheitsupdate der OpenSSL-Bibliotheken in den PHP Frameworks

Aus aktuellem Anlass möchten wir Sie über eine sicherheitsrelevante Schwachstelle im Zusammenhang mit OpenSSL informieren. Unsere Entwickler haben diese Sicherheitslücke CVE-2025-15467 als kritisch eingestuft. Die von uns unterstützten PHP-Versionen verwenden eine davon betroffene OpenSSL Version.

Betroffen sind unsere Installationen ab PHP 8.2 und höher. Ältere Versionen können ebenfalls betroffen sein, werden von uns aber nicht mehr ausgeliefert oder unterstützt. 

 Die Sicherheitslücke kann unter bestimmten Umständen die Integrität und Sicherheit der Anwendung beeinträchtigen. Aus diesem Grund stellen wir für Windows-Umgebungen sowohl ein automatisiertes Update-Tool – OpenSSL HotfixPatcher – als auch alternativ Update-Pakete bereit, mit denen die betroffenen OpenSSL-Dateien ersetzt werden können.

Bitte beachten Sie:

Welche Dateien aktualisiert werden müssen, hängt von der tatsächlich verwendeten OpenSSL-Library Version ab. Diese ist nicht direkt an die PHP-Version gebunden und auch unabhängig von der eingesetzten ExportDynamic-Version.

Maßnahmen für Bestandskunden

Um sicherzustellen, dass mit der korrekten OpenSSL-Library Version aktualisiert wird, empfehlen wir den Einsatz unseres Tools OpenSSL HotfixPatcher: 

  • Das Tool ermittelt in einem anzugebenden Pfad die verwendete OpenSSL-Library-Version
  • Anschließend bietet es die Aktualisierung der betroffenen Dateien an
  • Dabei wird automatisch ein Backup der bestehenden Dateien erstellt
  • Nach Abschluss wird angezeigt, ob das Update erfolgreich war

Alternativ kann das Tool auch ausschließlich zur Ermittlung der aktuell eingesetzten OpenSSL-Version verwendet werden. Eine Anleitung befindet sich im Paket in Form einer PDF.

Kunden, die den Austausch manuell durchführen möchten, können das bereitgestellte Update-Paket nutzen.

Dieses Paket ist sowohl für Server Publications als auch für Offline Publications einsetzbar und enthält Updates für alle fünf betroffenen OpenSSL-Library-Versionen. Eine Anleitung befindet sich im Paket in Form einer HowTo.txt.

Für Linux-Umgebungen liefert Quanos kein PHP/Apache aus. Dort wird OpenSSL systemseitig verwaltet.  Bitte stellen Sie sicher, dass in diesem Fall Ihr Systemadministrator ein entsprechendes Update durchführt.

Wir empfehlen dringend, die genannten Maßnahmen zeitnah umzusetzen, um einen sicheren Betrieb weiterhin zu gewährleisten.

Hier können Sie die oben genannten Pakete herunterladen:  

Zu den Paketen
 

Sollten Sie sich unsicher sein, welche Version bei Ihnen im Einsatz ist oder Unterstützung beim Austausch benötigen, eröffnen Sie bitte ein Support-Ticket über den  SIS.one Service Desk oder wenden sich an den Sie betreuenden Quanos Partner.

Oktober 2024

Aktualisiert im Juli 2025

Aus aktuellem Anlass weisen wir auf eine Sicherheitslücke in PHP hin, die von unseren Entwicklern als kritisch eingestuft wird.
Betroffen sind alle Installationen des ExportDynamic, welche auf Webservern (IIS oder Apache) installiert sind. 


ab ExportDynamic 3.15

PHP hat für die aktuellen PHP Versionen neue Security Releases zur Verfügung gestellt, die diese Sicherheitslücke beheben. Wir haben die PHP Pakete für unsere Software angepasst und stellen Ihnen diese per Download auf unserer Website, siehe Buttons, zur Verfügung. Abhängig von der ExportDynamic Version, die bei Ihnen im Einsatz ist, sind die angegebenen PHP-Pakete auszutauschen:

Die ExportDynamic Versionen 3.14 und älter sind NICHT kompatibel mit den oben genannten PHP Versionen und diese können dort nicht eingesetzt werden!

Die verwendete ExportDynamic Version wird im Online Katalog über den Link "Info über" in der Fußzeile angezeigt. 

Update-Anleitung für Webserver mit IIS:

  • Die bisherige php.ini in ein temp Verzeichnis für einen späteren Dateivergleich kopieren
  • Backup des bestehenden PHP-Ordners erstellen, z.B. den Ordner in ein ZIP-Archiv exportieren und mit eindeutiger Bezeichnung in ein Backup-Verzeichnis verschieben
  • Im IIS die Website und den Application Pool anhalten
  • den bestehenden PHP-Ordner leeren
  • Neues PHP-Paket entzippen und in den selben Ordner einfügen
  • Optional (nur wenn jetzt ein anderes Verzeichnis für PHP genutzt wird): Im IIS unter "Handler Mapping" für *.php die neue php-cgi.exe für FastCGI eintragen 
  • Mit WinMerge die die neue php.ini mit der bisherigen (die zuvor in einem Temp Verzeichnis abgelegt wurde) vergleichen
    • die Parameter prüfen und kundenspezifischen Einstellungen in die neue php.ini übernehmen (z.B. extension=ldap, https aktivieren per session.cookie_secure = 1, max_execution_time, etc. ) 
    • die Pfadangaben zum \tmp Verzeichnis, zu den Extensions und zur CACERT (alle stehen üblicherweise am Ende der von uns gelieferten php.ini) anpassen - diese sind für den Standardordner D:\CATALOGcreator vorbereitet. 
  •  Alternativ kann die php.ini auch manuell mit Notepad++ geprüft und angepasst werden.  
  • Im IIS Website und AppPool wiederstarten
  • Mit einer test.php im public-Ordner mit Inhalt
    <?php     phpinfo();?>kann überprüft werden, ob die neue PHP-Version und die richtige php.ini verwendet wird. Diese Testdatei ist im Anschluss sofort wieder zu löschen! 
  • Bei Problemen den PHP-Ordner auf die nötigen Leseberechtigungen der Gruppe IIS_IUSRS prüfen
     

Vorgehen bei ExportDynamic 3.14 und älter

Ältere PHP-Versionen, das betrifft PHP 8.0 und älter, sind vom Hersteller als End of Life eingestuft und erhalten somit keine Updates mehr!

Damit sind für die ExportDynamic Version 3.14 und älter keine PHP Pakete verfügbar. In diesem Fall muss die gesamte Installation der Quanos-Produkte in Form eines Projektupdates aktualisiert und damit auf ein aktuelles ExportDynamic upgedated werden. Hierbei handelt es sich um eine kostenpflichtige Leistung. Eröffnen Sie hierfür bitte zeitnah ein Support-Ticket über den Quanos Service Desk bzw. wenden sich an den Sie betreuenden Quanos Partner.


Wir unterstützen Sie 

Sollten Sie sich unsicher sein, welche Version bei Ihnen im Einsatz ist oder Unterstützung beim Austausch benötigen, eröffnen Sie bitte ein Support-Ticket über den Quanos Service Desk bzw. wenden sich an den Sie betreuenden Quanos Partner.