Kurz gesagt: Die Sicherheitslücke wurde bei selecdoo am selben Tag geschlossen, an dem die Korrektur veröffentlicht wurde. Es gab keinen Ausfall, keine Hinweise auf einen Angriff und Advertiser müssen nichts unternehmen.

Worum geht es?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619, auch „PHP2Shell“ genannt). PHP ist eine weit verbreitete Programmiersprache, auf der ein großer Teil aller Webseiten und Online-Dienste weltweit läuft. Die Lücken lagen also nicht in selecdoo selbst, sondern in der technischen Grundlage, die sehr viele Anbieter gleichzeitig nutzen.

War selecdoo betroffen?

Da auch selecdoo auf PHP läuft, waren die Systeme bis zum Einspielen der Korrektur grundsätzlich betroffen. Es gibt jedoch keinerlei Hinweise darauf, dass die Lücken bei selecdoo ausgenutzt wurden.

Wurde die Lücke geschlossen?

Ja. Alle selecdoo-Systeme wurden innerhalb von weniger als vier Stunden nach Veröffentlichung der Korrektur vollständig aktualisiert. Der Ablauf am 21. Oktober 2026 (deutsche Zeit):

• 16:00 Uhr: Die korrigierte PHP-Version wird veröffentlicht.
• 16:15 Uhr: Die Lücken sind analysiert, die Systeme werden ab sofort gezielt auf Angriffsversuche überwacht. Gleichzeitig beginnt die Aktualisierung.
• 17:45 Uhr: Die Kundenkonten-Verwaltung ist aktualisiert.
• 18:00 Uhr: Alle unterstützenden Systeme sind aktualisiert.
• 19:58 Uhr: Alle selecdoo-Systeme laufen auf der korrigierten Version.

Um keine Zeit zu verlieren, wurde nicht auf die offiziellen Pakete gewartet. Die korrigierte Version wurde selbst aufbereitet, wodurch die Aktualisierung fast zwei Stunden früher starten konnte. Wo möglich, wurden bis zum vollständigen Update zusätzliche Schutzmaßnahmen eingesetzt.

Welche Bereiche waren betroffen?

Betroffen waren das Dashboard für Advertiser und Publisher, die Erfassung von Klicks und Verkäufen (Tracking) sowie der E-Mail-Versand. Alle diese Bereiche sind vollständig aktualisiert.

Gab es einen Ausfall oder fehlende Daten?

Nein. Die Aktualisierung erfolgte ohne Unterbrechung. Das Tracking lief durchgehend weiter, es sind keine Klicks, Verkäufe oder Provisionen verloren gegangen. Eine Wartungspause ist im Zusammenhang mit dieser Lücke nicht geplant.

Müssen Advertiser etwas tun?

Nein. Es ist keine Aktion erforderlich. Passwörter müssen nicht geändert werden, Tracking-Codes und Einstellungen bleiben unverändert.

Wie geht es weiter?

Die Systeme werden weiterhin gezielt auf Angriffsversuche im Zusammenhang mit diesen Lücken überwacht. Weitere Sicherheitsupdates für PHP werden sofort nach ihrer Veröffentlichung eingespielt.