Am 21. Oktober 2026 haben die Entwickler der Skriptsprache PHP außerplanmäßige Sicherheitsupdates veröffentlicht. Diese schließen zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Über die Lücken können Angreifer unter Umständen ohne Anmeldung beliebigen Schadcode über das Netzwerk auf betroffenen Servern ausführen.

Betroffen sind grundsätzlich alle Installationen, die Webanfragen über PHP verarbeiten. Kursierende Konfigurationsänderungen gelten als nicht komplett wirksam. Ein vollständiger Schutz bietet nur ein Update.

SECANDA hat die veröffentlichten Informationen umgehend analysiert und mit den in unseren Produkten eingesetzten Technologien abgeglichen.

Produkte aus dem Bereich ID & Payment inkl. SECANDA App und SECANDA BackOffice sind nach aktueller Einschätzung nicht betroffen.

Nach aktuellem Kenntnisstand ist lediglich die serverseitige Komponente aus dem IntraKey Schließfachsystem betroffen. Die App auf den mobilen Endgeräten der Nutzer ist davon nicht berührt. Die davon betroffenen Kunden werden informiert und die weiteren Maßnahmen direkt abgestimmt.

Wir beobachten die Lage weiterhin aufmerksam und informieren an dieser Stelle, sobald sich neue Erkenntnisse ergeben.

Wer unabhängig von unseren Produkten eigene Server oder Webanwendungen mit PHP betreibt, sollte die bereitgestellten Updates so schnell wie möglich einspielen.

Bei Fragen steht Ihnen unser Support jederzeit gerne zur Verfügung.