Das Service Release 5 der Version 4.15 liefert ein Update für zwei kritische Sicherheitslücken in der vom WorkflowPortal verwendeten Komponente PHP. Dazu folgende Hinweise:


PHP ist eine Standard Script-Sprache für Webanwendungen und sehr weit verbreitet. Die Verantwortlichkeit für oben genannte Schwachstellen liegt ausschließlich bei der PHP Group. Die Upload@24 IT Consulting GmbH übernimmt keinerlei Verantwortung für diese Schwachstellen und mögliche Folgen.


Die PHP Group hat am 20. Oktober 2026 mitgeteilt, dass es zwei kritische Schwachstellen in PHP gibt (CVE-2026-109618 und CVE-2026-109619). Beide Schwachstellen sind nach CVSS v4.0 mit 9,2 von 10 bewertet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu den Sicherheitshinweis BITS-H Nr. 2026-297981-1032 mit der Kritikalität 3 von 4 (Orange) veröffentlicht. Nach Einschätzung des BSI könnten Angreifer über diese Lücken aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen, ohne dass dafür eine Authentifizierung oder eine Nutzerinteraktion nötig ist. Laut CERT-EU sind alle bekannten PHP-Versionen ab PHP 5 betroffen.

 

Am 21. Oktober 2026 wurden Patches für beide Schwachstellen veröffentlicht. Diese Patches übernehmen wir aktuell schnellstmöglich in unsere Software und prüfen das Update auf Funktion und Kompatibilität. Nach den Tests stellen wir eine aktualisierte Version als Service Release zum Download zur Verfügung. Dies planen wir für die KW44 mit hoher Priorität ein.

 

Da unsere Installationen standardmäßig OnPremise oder in einer PrivateCloud liegen, sind die Anwendungen von außen nicht erreichbar und somit nicht durch direkte externe Zugriffe gefährdet. Wir empfehlen allerdings trotzdem dringend, das Service Release nach Veröffentlichung zu installieren. Gegebenenfalls ist in diesem Zuge ein Update aller eingesetzten Komponenten auf die aktuelle Version nötig.


Update-Vorbereitungen

  • Ab Version 4.10 wird das .NET Framework 4.8 vorausgesetzt (Systemvoraussetzungen für das WorkflowPortal ab Version 4.10). Bitte installieren Sie dieses vor dem Ausführen des Setups.
  • Bitte sichern Sie vor Ausführen des Setups die bestehende Datei "...\users\users.usr". Die Struktur der Benutzerdaten ändert sich ab der Version 4.9. Falls eine vorherige Version reaktiviert werden müsste, kann so der alte Stand der Benutzerstruktur sehr einfach wiederhergestellt werden.


Kompatibilität mit den Produkten der Upload24

  • Document Processor CORE 4.15.x
  • ArchivPortal 1.13.x


Bekannte allgemeine Einschränkungen

  • Es kann vorkommen, dass die Administration der Aufgabenlisten beim ersten Aufruf nicht korrekt angezeigt wird. Zu beheben ist dies ganz einfach durch Neuladen der Administrationsseite per STRG + F5.
  • Die Reihenfolge der Werte in der Auswahlliste des Spaltenfilter ist für Datumswerte nicht korrekt. Statt per Datum wird hier aktuell noch alphabetisch sortiert.


Kritische Anpassungen

  • Update der verwendeten Komponente PHP auf den aktuellen Stand.


Behobene Fehler

  • Identische Benutzerkonten in unterschiedlichen Domänen führten zu einer falschen Kontozuordnung nach erfolgreicher Authentifizierung.
  • Eine Beschreibung wurde für Aktionen mit bestimmten Bezeichnungen (Sonderzeichen) nicht angezeigt.
  • Die Vertreterregelung wurde fälschlich deaktiviert, wenn der Zeitraum in der Zukunft lag.
  • Die Anbindung an EntraID lieferte nur eine bestimmte Anzahl an Gruppen beim Auslesen zurück.