War Threema von den kürzlich entdeckten Schwachstellen in PHP betroffen?

Am 21. Oktober 2026 wurden zwei gravierende Schwachstellen (CVE-2026-109618 und CVE-2026-109619) in PHP, einer weit verbreiteten Skriptsprache, angekündigt. Später am selben Tag wurden vom PHP-Team dazugehörige Sicherheitsupdates bereitgestellt.

Das Management Cockpit von Threema Work sowie Threema Broadcast basieren zu gewissen Teilen auf PHP. Aus diesem Grund wurden sicherheitshalber einzelne Funktionen wie das Hochladen von Medien zwischenzeitlich deaktiviert, bis die Sicherheitsupdates verfügbar waren.

Ausserdem waren das Management Cockpit von Threema Work, Threema Broadcast sowie threema.com nicht verfügbar, während die Sicherheitsupdates eingespielt wurden, was unmittelbar nach deren Veröffentlichung am Abend des 21. Oktober 2026 geschah.

Seither sind alle betroffenen Systeme gepatcht und wieder voll funktionsfähig.

Diese Schwachstellen in Drittanbieter-Software hatten keine Auswirkungen auf die Verfügbarkeit (oder die Sicherheit) der Threema-Apps für Android, iOS und Desktop.