Changelog

Worum geht es?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“). PHP steckt in einem großen Teil aller Websites und Webanwendungen weltweit, etwa in WordPress, Nextcloud oder vielen Verwaltungsportalen.

Schweregrad: kritisch.

Die Lücken sind mit 9,2 von 10 Punkten (CVSS 4.0) bewertet. Ein Angreifer kann ohne Login und mit einer einzigen Anfrage eigenen Code auf einem betroffenen Server ausführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe Orange ausgerufen, erste Angriffe im Internet sind bereits beobachtet worden. Betroffen sind alle PHP-Versionen bis einschließlich 8.1 dauerhaft, nur für 8.2 bis 8.5 gibt es seit dem 21. Oktober 16:00 Uhr Updates.

Verständliche Quellen:

• BSI Warnt vor kritischen Schwachstellen - Sicherheitsupdate noch heute notwendig.

• Deutschland sicher im Netz (DSIN): PHP2Shell – kritische Sicherheitslücken gefährden Webseiten und Onlineshops

• Borns IT-Blog: PHP2Shell, Schwachstellen CVE-2026-109618 und CVE-2026-109619

Sind unsere Produkte betroffen?

Unsere Produkte sind in TypeScript und Node.js entwickelt und verwenden kein PHP. Ihre Daten und die Anwendungen, mit denen Sie täglich arbeiten, waren zu keinem Zeitpunkt über diese Lücke angreifbar.

Sehr wohl betroffen, waren einige Systeme in unserem Umfeld, die PHP einsetzen: unser Support-Portal, unsere interne Cloud und der File-Sharing-Service, verschiedene Websites und ein älterer Druckdienst für PDF-Ausgaben.

Was haben wir getan?

Wir haben am 21. Oktober innerhalb weniger Stunden nach Veröffentlichung der Updates alle Systeme überprüft und gehandelt:

1. Bestandsaufnahme: Alle Server, Container und unser Kubernetes-Cluster wurden auf PHP-Installationen geprüft. Auf keinem System haben wir Hinweise auf einen Angriffsversuch oder einen erfolgreichen Angriff gefunden.

2. Updates eingespielt: Alle PHP-Installationen, für die ein Update existiert, laufen jetzt auf den abgesicherten Versionen 8.3.36 und 8.5.12. Das Support-Portal (support.stadtlandnetz.de) ist aktualisiert und normal erreichbar.

3. Alte Versionen entfernt: Nicht mehr benötigte PHP-Versionen ohne Sicherheitsupdates wurden vollständig deinstalliert.

4. Abschaltung statt Risiko: Systeme, für die es kein Update gibt oder bei denen das Update noch nicht verfügbar ist, haben wir vom Netz genommen oder den Zugriff auf interne IP-Adressen beschränkt, statt sie angreifbar zu lassen.

Welche Systeme sind derzeit offline?

Um das ganz klar zu sagen: wir waren betroffen. Ohne schnelles Handeln und dem Abschalten bestimmter, vor allem interner, Dienste, wären wir angreifbar.

Alle übrigen Systeme, insbesondere NovaHub, VIA, myVIA, heyNova und das Support-Portal, sind uneingeschränkt verfügbar.

Was können Sie tun?

Lassen Sie das nicht liegen! Sie sind wahrscheinlich auch betroffen.

Die Schwachstellen lassen sich zu leicht ausnutzen und geben Angreifern sehr einfach vollständige Kontrolle über Ihre Server und Ihre Infrastruktur.

Wenn Sie selbst Webanwendungen auf PHP-Basis betreiben (Website, Intranet, Portale, Applikationen, E-Mail, Kalender, Datei-Sharing), prüfen Sie unbedingt mit Ihrem IT-Dienstleister oder Hoster, ob die Updates eingespielt sind. Die oben verlinkten Artikel beschreiben die notwendigen Schritte.

Bei Fragen erreichen Sie uns wie gewohnt über das Support-Portal oder per E-Mail. Wir informieren Sie an dieser Stelle, sobald die interne Cloud wieder erreichbar ist.

Stadt.Land.Netz, 21. Oktober 2026

Bisher fanden Sie Ihre Fahrzeuge nur unter dem jeweiligen Unternehmen. Gerade wenn Sie mehrere Verkehrsunternehmen in NovaHub organisieren, war das umständlich. Wie schon beim Personal gibt es jetzt auch für Fahrzeuge eine zentrale Übersicht im Hauptmenü. Dort sehen Sie alle Fahrzeuge auf einen Blick.

Das ist neu

• Alle Fahrzeuge in einer Liste: Mit den Filtern grenzen Sie die Liste z. B. nach Unternehmen oder Betriebshof ein.

• Fahrzeugdetails: Mit einem Klick auf ein Fahrzeug sehen Sie seine Konfiguration, etwa Sitzplätze, Rollstuhlplätze und Besonderheiten.

• Kilometeraufzeichnungen: Alle Aufzeichnungen aus heyNova sind am Fahrzeug aufgelistet, mit der verknüpften Tour, der Person, die aufgezeichnet hat, und dem Zeitpunkt. So vergleichen Sie die gefahrenen Kilometer mit der geplanten Tour.

• QR-Code für den Fahrzeugmodus: Der Anmelde-QR-Code für heyNova ist direkt am Fahrzeug hinterlegt. Unter Aktionen können Sie

  • den QR-Code drucken oder als PDF speichern,

  • ein neues Passwort oder einen neuen QR-Code erzeugen,

  • den QR-Code deaktivieren, wenn das Fahrzeug nicht mehr für die Anmeldung genutzt werden soll.

• Verplanung: Im Reiter Verplanung sehen Sie, in welchen Touren das Fahrzeug eingeplant ist. Die Darstellung kennen Sie schon: Zeitstrahl und Kalenderwochenansicht.

Personal und Fahrzeuge im Menü ausblenden

Sie verwalten in NovaHub keine Fahrzeuge oder kein Personal, z. B. als öffentlicher Auftraggeber? Dann blenden Sie die beiden Übersichten einfach aus:

Systemeinstellungen → System → Hauptmenü → „Personalübersicht anzeigen“ bzw. „Fahrzeugübersicht anzeigen“ deaktivieren und speichern.

Ihr Stammdaten-Menü wird dadurch schlanker. Unter dem jeweiligen Unternehmen bleiben Fahrzeuge und Personal weiterhin erreichbar.

Ausblick: Fahrzeugstatus

Wir arbeiten bereits am nächsten Schritt: Fahrzeuge können ausfallen, genauso wie Ihr Personal durch Urlaub oder Krankheit, z. B. wegen eines Werkstattbesuchs oder eines Schadens. Mit dem kommenden Fahrzeugstatus können Sie ein Fahrzeug dann vorübergehend oder dauerhaft “aus dem Verkehr” ziehen.

Ihr Feedback

Wie gefällt Ihnen die neue Übersicht? Fehlen Ihnen Informationen am Fahrzeug? Schreiben Sie uns, wir freuen uns auf Ihre Rückmeldung!

Eine Schule zieht wegen Sanierung vorübergehend um, das neue Schuljahr beginnt, oder die Abholzeiten ändern sich für eine ganze Gruppe: Bisher mussten Sie solche Änderungen Person für Person einzeln erfassen.

Mit der neuen Stapelbearbeitung erledigen Sie das jetzt für beliebig viele Personen in einem Durchgang – und sparen sich so schnell 50 bis 100 Klicks.

Hier ist Lars, der das Feature ausführlich erklärt:

So funktioniert's

Wählen Sie in der Personenliste die gewünschten Personen (also deren Perioden oder Fahranforderungen) aus und klicken Sie auf Aktionen → Im Stapel bearbeiten. Ein Assistent führt Sie durch die Schritte:

1. Auswahl prüfen – Sie sehen alle ausgewählten Personen mit ihren Perioden und Fahrtanforderungen.

2. Bereich wählen – Bearbeiten Sie entweder die Perioden oder die Fahrtanforderungen.

3. Aktion und Zeitraum festlegen

   • Bearbeiten – Daten ändern

   • Beenden / Unterbrechen – Perioden oder Fahrtanforderungen beenden oder pausieren

   • Fortschreiben – bestehende Daten in den nächsten Zeitraum übernehmen, z. B. ins neue Schuljahr

     Jeweils wahlweise

   1. in einem Zeitraum,

   2. für alle Zeiträume

   3. oder ab einem Zeitpunkt.

   Ein kleines Piktogramm zeigt Ihnen, was genau mit den Daten passiert.

4. Änderungen eintragen

   • Perioden: Einrichtung, Anschriften und Klasse. Eine neue Einrichtung können Sie auf Wunsch direkt als Ein- bzw. Ausstiegsort übernehmen.

   • Fahrtanforderungen: u. a. Ein- und Ausstieg (z. B. Wohnadresse der jeweiligen Person oder eine gemeinsame Haltestelle), Kalender, Ankunfts- und Abfahrtszeiten sowie Touren – auch nur für einzelne Wochentage oder Richtungen. Werte lassen sich mit einem Klick in die nächste Zeile übernehmen.

5. Vorschau kontrollieren – Für jede Person zeigt ein Zeitstrahl, was bleibt, was sich ändert und was entfällt. Sie können suchen und einzelne Personen noch abwählen.

6. Ausführen – Die Änderungen werden gespeichert. 🎉

Bitte beachten Sie

• Es gibt keine Rückgängig-Funktion. Änderungen überschreiben die bestehenden Daten. Eine Wiederherstellung ist nur über unseren Support aus einem Backup möglich – und aufwendig.

• Änderungen können sich auf Ihre Routenplanung auswirken. Die Vorschau zeigt Ihnen das vor dem Ausführen an.

• Prüfen Sie deshalb vor dem Klick auf Ausführen in Ruhe Auswahl, Zeitraum und Vorschau.

Ihr Feedback

Fehlt Ihnen eine Bearbeitungsmöglichkeit, wirkt etwas unlogisch oder ist Ihnen ein Fehler aufgefallen? Schreiben Sie uns – wir freuen uns auf Ihre Rückmeldung!