Ein kürzlich gemeldetes Sicherheitsproblem betrifft NexoPOS 6.2.4 und frühere Versionen. Gleichzeitig hat das PHP-Projekt zwei kritische Sicherheitslücken offengelegt, die häufig eingesetzte PHP-Versionen betreffen. Wenn Sie Ihre eigene NexoPOS-Installation verwalten, aktualisieren Sie NexoPOS und die PHP-Laufzeitumgebung auf Ihrem Server so bald wie möglich.
Aktion erforderlich
Selbst gehostete Installationen sollten auf NexoPOS 6.3.0 und eine gepatchte PHP-Version aktualisieren. Sichern Sie die Datenbank und die Anwendungsdateien, bevor Sie Änderungen vornehmen.
Die NexoPOS-Schwachstelle
Das gemeldete NexoPOS-Problem betrifft die Autorisierung beim Datenbankmigrationsprozess. Datenbankmigrationen sind vertrauenswürdige Vorgänge, die während eines Updates verwendet werden, um die Datenbankstruktur einer Installation zu ändern.
In betroffenen Versionen war die Ausführung von Migrationen nicht so stark eingeschränkt wie vorgesehen. Unter bestimmten Bedingungen konnten dadurch Migrationsvorgänge außerhalb des normalen Aktualisierungsablaufs ausgelöst werden.
Je nach Installation und Serverkonfiguration können unter anderem folgende Folgen auftreten:
- Unbefugte Datenbankänderungen
- Beeinträchtigung der Datenintegrität
- Anwendungsfehler oder unterbrochene Vorgänge
- Vorübergehender Verlust des Zugriffs auf das Kassensystem
- Zusätzliches Risiko durch einen unzureichend kontrollierten Update-Prozess
Wir veröffentlichen absichtlich keine technischen Details, die die Ausnutzung erleichtern könnten. Die Sicherheitslücke betrifft NexoPOS 6.2.4 und frühere Versionen.
Die Fehlerbehebung ist verfügbar.
NexoPOS 6.3.0 ist die empfohlene Lösung.
NexoPOS 6.3.0 beschränkt die Ausführung auf gültige, tatsächlich noch ausstehende Migrationen, validiert Migrationspfade und verhindert, dass Migrationsdateien außerhalb der dafür vorgesehenen Verzeichnisse geladen werden.
Mit diesem Release werden außerdem folgende Neuerungen eingeführt:
- Feingranularere POS-Berechtigungen
- Zugriffskontrollen auf Auftragsebene
- Strengere Autorisierung von API-Tokens
- Fähigkeitsbasierte Autorisierung für KI- und MCP-Funktionen
- Ein sicherheitsgehärteter Verbindungsprozess für My NexoPOS
- Berichtswesen, Lokalisierung, Etikettendruck und Zuverlässigkeitsverbesserungen
Kunden, die nicht sofort auf NexoPOS 6.3.0 umsteigen können, sollten als vorübergehende Maßnahme den Sicherheitspatch für NexoPOS 6.2.5 installieren. Der Umstieg auf die neueste stabile Version bleibt der empfohlene Weg.
PHP muss ebenfalls aktualisiert werden.
Die Aktualisierung von NexoPOS allein reicht nicht aus, wenn auf dem Server weiterhin eine anfällige PHP-Version läuft.
Am 21. Oktober 2026 gab das PHP-Sicherheitsteam zwei kritische Schwachstellen bekannt, die beide mit CVSS 9,2 (kritisch) bewertet wurden:
- CVE-2026-109618: Remote-Code-Ausführung durch Speicherbeschädigung bei Speichermangel
- CVE-2026-109619: Remote-Code-Ausführung durch veralteten globalen Zustand
Diese Schwachstellen können eine nicht authentifizierte Remote-Code-Ausführung auf PHP-Installationen ermöglichen, die Webanfragen verarbeiten. Das PHP-Projekt stuft Installationen mit PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed als gefährdet ein.
Administratoren sollten auf mindestens eine der folgenden sicheren Versionen aktualisieren:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regelmäßigen Sicherheitsupdates mehr. Installationen, die diese Versionen verwenden, sollten auf einen unterstützten PHP-Zweig wechseln oder ein verifiziertes, gepatchtes Paket von ihrem Betriebssystem- oder Langzeit-Support-Anbieter beziehen.
Ein Update von PHP ist erforderlich.
Das PHP-Sicherheitsteam weist darauf hin, dass eine Aktualisierung die einzige vollständige Gegenmaßnahme ist. Lesen Sie den offiziellen Sicherheitshinweis auf php.net und verlassen Sie sich nicht dauerhaft auf Konfigurations-Workarounds.
Lesen Sie die offizielle PHP-Sicherheitsmeldung.
Was Kunden mit selbst gehosteten Systemen tun sollten
Bevor Sie Änderungen vornehmen, sichern Sie Ihre NexoPOS-Datenbank und Anwendungsdateien. Gehen Sie dann wie folgt vor:
- Bitten Sie Ihren Hosting-Anbieter oder Serveradministrator, PHP auf eine sichere Version zu aktualisieren.
- Starten Sie PHP-FPM, Apache oder die entsprechenden Web-Worker nach der Aktualisierung von PHP neu.
- Aktualisieren Sie NexoPOS auf Version 6.3.0.
- Führen Sie ausstehende Datenbankmigrationen über den regulären NexoPOS-Aktualisierungsprozess aus.
- Bestätigen Sie die installierten Versionen von NexoPOS und PHP.
- Benutzerdefinierte Module, Integrationen und Themes überprüfen und testen.
Wenn Ihre Installation bereits NexoPOS 6.2.5 oder 6.3.0 ausführt, ist die Korrektur für die NexoPOS-Migration enthalten. Sie müssen dennoch überprüfen, ob die zugrunde liegende PHP-Laufzeitumgebung aktualisiert wurde.
Möchten Sie sich lieber nicht selbst um die Serversicherheit kümmern?
Der Betrieb eines selbst gehosteten Kassensystems bedeutet, mehr als nur die Anwendung zu warten. Sie müssen PHP, den Webserver, Datenbankdienste, Betriebssystempakete, Backups und Sicherheitsupdates überwachen.
NexoPOS Cloud nimmt Ihnen einen Großteil dieser operativen Last ab.
NexoPOS Cloud-Kunden müssen den oben beschriebenen manuellen Prozess zur Aktualisierung der Anwendung und des Servers nicht durchführen. Die Plattformwartung und Sicherheitsupdates werden im Hintergrund erledigt, sodass Kunden sich auf ihr Geschäft konzentrieren können, statt ihre Hosting-Infrastruktur zu warten.
Wenn Sie lieber eine verwaltete NexoPOS-Umgebung nutzen möchten, in der Updates für Sie übernommen werden, ist jetzt ein guter Zeitpunkt für die Migration.
Sicherheitsupdates sollten nicht aufgeschoben werden. Unabhängig davon, ob Sie weiterhin selbst hosten oder zu NexoPOS Cloud wechseln: Stellen Sie sicher, dass Ihr Unternehmen auf einer gewarteten und vollständig aktualisierten Plattform läuft.