News · Oktober 2026 · Sicherheitsinformation
PHP-Sicherheitslücken im WebService der Time 3010
Im Oktober 2026 wurden zwei Sicherheitslücken in PHP öffentlich bekannt (CVE-2026-109618 und CVE-2026-109619), die auch den WebService unserer Zeiterfassung Time 3010 betrafen. Wir haben alle Kundinnen und Kunden umgehend per Newsletter informiert, ein korrigierendes Update bereitgestellt und die Installation organisiert. Die Inhalte beider Kundeninformationen geben wir auf dieser Seite wieder.
Aktueller Stand (28.10.2026)
Status: Sicherheitsupdate verfügbar (seit 21. Oktober 2026)
Betroffen: alle Versionen des WebService der Time 3010 · On-Premises
Update verfügbar für: Versionen 6.2, 6.3 und 6.4
AZS-Cloud: vollständig aktualisiert
Kundeninformation: per Newsletter an alle Kundinnen und Kunden
Das Wichtigste in Kürze
Was ist passiert? Bekanntwerden der PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 mit Auswirkung auf den WebService der Time 3010.
Wer ist betroffen? Alle Versionen des WebService der Time 3010 in On-Premises-Umgebungen. Ein Sicherheitsupdate steht für die Versionen 6.2, 6.3 und 6.4 zur Verfügung – für ältere Versionen nicht. Für Kunden der AZS-Cloud haben wir das Update vollständig eingespielt.
Was haben wir getan? Umgehende Information aller Kundinnen und Kunden per Newsletter, Entwicklung und Bereitstellung des Sicherheitsupdates, Installation bei On-Premises-Kunden.
Aktueller Stand: Ein großer Teil der Anlagen ist bereits aktualisiert. Kunden mit älteren Versionen wenden sich an den Kundenservice.
Erste Kundeninformation: Risikobewertung
Alle Kundinnen und Kunden haben die folgenden Informationen per Newsletter erhalten. Zunächst bewerteten wir die Risiken für die beiden Betriebssituationen von On-Premises-Anlagen:
On-Premises: WebService ausschließlich intern erreichbar
Ist der Zugriff auf ein kontrolliertes internes Netz beschränkt und der WebService auch über vorgeschaltete Systeme nicht öffentlich erreichbar, schätzen wir die Eintrittswahrscheinlichkeit als gering ein. Ein Restrisiko bleibt dennoch bestehen, beispielsweise durch bereits kompromittierte interne Systeme.
On-Premises: WebService aus dem Internet erreichbar
Ist der WebService direkt oder über vorgeschaltete Systeme aus dem Internet zugänglich, gehen wir aufgrund der zusätzlichen Zugriffsmöglichkeiten von einer höheren Eintrittswahrscheinlichkeit aus. Diesen Kunden empfehlen wir, das Update vorrangig einzuplanen.
Hinweis zur Verantwortung: Für beide On-Premises-Szenarien gilt: Die individuelle Risikobewertung und die Entscheidung über Weiterbetrieb, Zugriffsbeschränkungen oder eine vorübergehende Abschaltung des WebService liegen bei den zuständigen IT- und Sicherheitsverantwortlichen des Betreibers. Als Softwarehersteller sind wir nicht Betreiber der Anlage und können diese Entscheidung nicht für unsere Kunden übernehmen.
Zweite Kundeninformation: Sicherheitsupdate verfügbar
Das Sicherheitsupdate für den WebService stand ab dem 21. Oktober 2026 zur Verfügung – einen Tag früher als ursprünglich geplant. Es umfasst die Versionen 6.2, 6.3 und 6.4 der Time 3010. Für ältere Versionen steht kein Update zur Verfügung; diese Kunden wenden sich bitte an den Kundenservice.
Einen großen Teil der Anlagen haben wir in den Folgetagen selbst aktualisiert. On-Premises-Kunden, deren Anlage noch nicht aktualisiert ist, melden sich unter Nennung von Unternehmen, Kundennummer, eingesetzter Version und Ansprechpartner beim Kundenservice, um einen Installationstermin zu vereinbaren.
Für Kunden der AZS-Cloud wurde das Update vollständig von uns eingespielt. Sie mussten nichts unternehmen; während der Updatevorgängen stand der Dienst lediglich zeitweise nicht zur Verfügung.
Chronik
- Mitte Oktober 2026: Bekanntwerden der PHP-Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619); umgehende Information aller Kundinnen und Kunden per Newsletter inklusive Risikobewertung und Ankündigung des Sicherheitsupdates.
- 21. Oktober 2026: Sicherheitsupdate für die Versionen 6.2, 6.3 und 6.4 verfügbar; zweite Kundeninformation per Newsletter.
- Seitdem: Installation des Updates bei On-Premises-Kunden in Abstimmung mit den jeweiligen IT-Verantwortlichen; AZS-Cloud vollständig aktualisiert.
Häufige Fragen
Wie wurden Kundinnen und Kunden informiert?
Alle Kundinnen und Kunden erhielten die Informationen per Newsletter: zunächst die Risikobewertung mit der Ankündigung des Updates, anschließend die Information zur Verfügbarkeit des Sicherheitsupdates. Die Inhalte beider Kundeninformationen sind auf dieser Seite wiedergegeben.
Wer ist von den Schwachstellen betroffen?
Betroffen sind alle Versionen des WebService der Zeiterfassung Time 3010 in On-Premises-Umgebungen. Ein Sicherheitsupdate steht für die Versionen 6.2, 6.3 und 6.4 zur Verfügung. Kunden der AZS-Cloud mussten nichts unternehmen – das Update wurde vollständig durch uns eingespielt.
Was galt bis zur Installation des Updates?
Die individuelle Risikobewertung und die Entscheidung über Weiterbetrieb, Zugriffsbeschränkungen oder eine vorübergehende Abschaltung des WebService oblagen den IT- und Sicherheitsverantwortlichen des jeweiligen Betreibers. Bei einem aus dem Internet erreichbaren WebService empfahlen wir, das Update vorrangig einzuplanen.
An wen können sich Kunden mit Fragen wenden?
Der AZS-Kundenservice ist per E-Mail an kundenservice@azs.de sowie telefonisch unter 040 226611 erreichbar.
Fragen zum Sicherheitsupdate?
Sie sind Kunde und haben Fragen zur PHP-Sicherheitslücke, zur Update-Installation oder nutzen eine ältere Version? Schreiben Sie uns an kundenservice@azs.de – nennen Sie uns dabei Ihr Unternehmen, Ihre Kundennummer, die aktuell eingesetzte Version sowie einen Ansprechpartner mit Kontaktdaten.
T: 040 226611