JTL hat seine Kunden heute über zwei kritische Sicherheitslücken im JTL-WMS Mobile Server informiert. In Kombination erlauben sie es, ohne gültige Anmeldung auf die Datenbank Ihres WMS zuzugreifen und Datenbankbefehle auszuführen. JTL spricht ausdrücklich von dringendem Handlungsbedarf.
Nach Informationen von JTL sind die Lücken bisher nicht ausgenutzt worden. Mit der Veröffentlichung ändert sich das Risiko jedoch: Ab jetzt ist bekannt, wo man ansetzen muss.
Auf einen Blick
| Punkt | Details |
|---|---|
| Betroffene Komponente | JTL-WMS Mobile Server (Anbindung der MDE-Scanner, Standardport 8080) |
| Betroffene Versionen | 1.7.0 bis einschließlich 2.1.2 sowie Vorabversionen von 2.2 |
| Behoben in | 2.0.7 · 2.1.3 · 2.2.1 |
| Kein Patch für | 1.7.0 bis 1.11.x – Upgrade meist nicht möglich, wir haben eine eigene Lösung |
| Risiko | Datenbankzugriff ohne Anmeldung (fehlerhafte Authentifizierung + SQL-Injection) |
| Besonders kritisch | Mobile Server aus dem Internet erreichbar (z. B. Portweiterleitung) |
Unsere Lösung: Wir prüfen Ihren Mobile Server, spielen das Sicherheitsupdate ein und testen Scanner und Packtisch – in einem Termin per Fernwartung, auf Wunsch kurzfristig als Express. Auch für 1.x-Installationen ohne Patch haben wir eine Lösung. Express-Termin buchen
Was genau ist das Problem?
Laut JTL handelt es sich um zwei zusammenhängende Schwachstellen:
- Fehlerhafte Anmeldeprüfung: Bestimmte Anfragen an den Mobile Server wurden verarbeitet, ohne dass die Authentifizierung korrekt geprüft wurde.
- SQL-Injection: Ein von außen übergebener Wert wurde nicht ausreichend geprüft, bevor er in eine Datenbankabfrage einfloss.
Zusammen bedeutet das: Wer den Mobile Server erreicht, kann ohne Benutzername und Passwort Befehle in Ihrer Datenbank ausführen. In der Datenbank liegen Kunden-, Auftrags- und Bestandsdaten – also genau das, was bei einem Angriff abfließen oder manipuliert werden kann.
Ist der Mobile Server aus dem Internet erreichbar, kann jeder diese Lücke ausnutzen – ohne Zugang zu Ihrem Netzwerk. Prüfen Sie das sofort, unabhängig vom Update.
Bin ich betroffen?
Sie sind betroffen, wenn alle drei Punkte zutreffen:
- Sie nutzen JTL-WMS mit dem Mobile Server (MDE-Scanner im Lager),
- der Mobile Server läuft in einer Version zwischen 1.7.0 und 2.1.2 oder einer 2.2-Vorabversion,
- er ist noch nicht auf 2.0.7, 2.1.3 bzw. 2.2.1 aktualisiert.
Ihre Version sehen Sie laut JTL direkt im Login-Bildschirm der Wawi bzw. des WMS.
Nicht betroffen sind Sie, wenn Sie den Mobile Server nie eingerichtet haben. Er ist eine separat lizenzierte Komponente und startet nicht automatisch mit der Wawi oder dem WMS.
Was Sie jetzt tun sollten
- Version prüfen – im Login-Bildschirm der Wawi bzw. des WMS.
- Erreichbarkeit prüfen – ist der Mobile Server (Port 8080) über eine Portweiterleitung aus dem Internet erreichbar? Falls ja: sofort schließen.
- Update einspielen – auf 2.0.7, 2.1.3 bzw. 2.2.1, passend zu Ihrer Versionslinie.
- Bei Version 1.x: Hier gibt es keinen Patch, und ein Upgrade auf 2.x ist meist nicht ohne Weiteres möglich. Dafür haben wir eine eigene Lösung – sprechen Sie uns an.
- Nach dem Update: Scanner und Packtisch testen, damit der Betrieb im Lager am nächsten Morgen sicher weiterläuft.
Wenn Ihr Mobile Server aus dem Internet erreichbar war, lassen Sie zusätzlich prüfen, ob es Auffälligkeiten in der Datenbank gibt. Kommt es tatsächlich zu einem Datenabfluss mit personenbezogenen Daten, sind Meldepflichten nach der DSGVO zu beachten.
Warum Sie nicht bis zum nächsten Wartungsfenster warten sollten
Sicherheitslücken sind nach ihrer Veröffentlichung am gefährlichsten: Angreifer wissen jetzt, wonach sie suchen müssen, und automatisierte Scans nach offenen Diensten laufen ständig. Ein Lager-Server, der nebenbei läuft und selten jemand anschaut, ist ein typisches Einfallstor.
Besonders betroffen sind Händler, die noch auf einer 1.x-Version arbeiten: Für sie gibt es keinen Patch, und ein Upgrade ist meist nicht möglich. Ohne Gegenmaßnahme bleibt die Lücke dort offen.
So unterstützen wir Sie
Wir prüfen Version und Erreichbarkeit Ihres Mobile Servers, spielen das passende Sicherheitsupdate ein und testen danach Scanner und Packtisch. Für Installationen auf 1.x, bei denen ein Upgrade nicht möglich ist, haben wir eine eigene Lösung, die Ihren Mobile Server trotzdem absichert. Wenn es schnell gehen muss, buchen Sie einen Express-Termin – dann kümmern wir uns kurzfristig.
Häufige Fragen
Bin ich betroffen, wenn ich JTL-WMS nutze?
Nur, wenn Sie den WMS Mobile Server eingerichtet haben und betreiben – also die Komponente, über die MDE-Scanner im Lager angebunden werden. Der Mobile Server startet nicht automatisch mit der Wawi oder dem WMS, sondern muss eigens eingerichtet werden.
Welche Versionen schließen die Lücken?
Laut JTL die Versionen 2.0.7 (2.0-Linie), 2.1.3 (2.1-Linie) und 2.2.1 (für Installationen mit 2.2-Vorabversionen).
Ich nutze noch Version 1.x – was nun?
Für die Versionen 1.7.0 bis 1.11.x gibt es laut JTL keinen Patch. Ein Upgrade auf 2.x ist für viele 1.x-Installationen nicht ohne Weiteres möglich. Dafür haben wir eine eigene Lösung, die Ihren Mobile Server absichert – sprechen Sie uns an.
Wurden die Lücken schon ausgenutzt?
Nach Informationen von JTL bislang nicht. Das ist kein Grund zu warten: Die Details sind jetzt öffentlich, und damit steigt das Risiko gezielter Angriffe.
Was muss ich tun, wenn der Mobile Server aus dem Internet erreichbar ist?
Die Freigabe (z. B. Portweiterleitung auf Port 8080) sofort schließen – unabhängig vom Update. Der Mobile Server ist nur für das interne Lagernetz gedacht.
Quellen
- Sicherheitshinweis von JTL-Software an Kunden und Servicepartner vom 14.10.2026 (E-Mail „Sicherheitsupdate für WMS Mobile Server – dringender Handlungsbedarf“)
- JTL-Kundencenter: Support-Ticket erstellen