Am 21. Oktober 2026 wurden kritische Sicherheitslücken in PHP bekannt. Unsere Lösungen PICTURE-Prozessplattform und Kasaia sind davon nicht betroffen.

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Skriptsprache PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“). Über diese Lücken können Angreifer ohne Anmeldung Code auf betroffenen Webservern ausführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine Cybersicherheitswarnung veröffentlicht.

Die PICTURE-Prozessplattform und Kasaia sind nicht betroffen. Beide Lösungen sind im Java-Ökosystem entwickelt und verwenden kein PHP. Das gilt sowohl für den Betrieb durch PICTURE als auch für den On-Premises-Betrieb der PICTURE-Prozessplattform.

Unsere Websites www.picture-gmbh.de, www.prozessplattform.de und www.kasaia.de basieren auf PHP. Sie werden getrennt von unseren Lösungen bei einem spezialisierten Dienstleister betrieben. Dieser hat bereits am Morgen des 21. Oktober 2026 vorbeugend serverseitige Härtungsmaßnahmen umgesetzt. Die offiziellen Patches hat er noch am selben Tag unmittelbar nach ihrer Veröffentlichung ausgerollt (ca. 16.10 Uhr). Nach aktuellem Stand sind damit auch unsere Websites abgesichert.

Für unsere Kundinnen und Kunden besteht kein Handlungsbedarf. Bei Rückfragen wenden Sie sich gern an Ihre bekannten Ansprechpartnerinnen und Ansprechpartner bei PICTURE.