Kurzantwort: Am 21. Oktober 2026 kündigte die türkische Cybersicherheitsbehörde einen landesweiten Scan wegen zweier kritischer PHP-Schwachstellen (PHP2Shell, CVE-2026-109618 und CVE-2026-109619) an und verschickte Dringlichkeitsmeldungen an Organisationen. In großen Unternehmen liegt das Risiko selten auf der Hauptwebsite. Es versteckt sich in vergessenen Kampagnenseiten, Händlerportalen, alten Subdomains und internen Anwendungen. 360 Soft erstellt ein Inventar aller PHP-Assets, patcht nach Priorität, prüft auf Spuren einer Kompromittierung und liefert einen Abschlussbericht, den Sie Geschäftsführung und Prüfern vorlegen können.
Der Service richtet sich an Konzerne, regulierte Unternehmen und Organisationen mit vielen Marken, Ländern oder Agenturen. Wenn Sie nur eine einzelne Website schnell absichern müssen, lesen Sie PHP-Sicherheitslücken beheben.
Ablauf der PHP2Shell-Reaktion im Unternehmen
- Externes Inventar (0–48 Stunden): Domains, Subdomains, Zertifikatseinträge und IP-Bereiche werden gescannt. Für jedes aus dem Internet erreichbare PHP-System werden Version und Serversignatur ermittelt.
- Risikobewertung: Jedes System wird nach Internet-Exposition, verarbeiteten Daten (personenbezogen, finanziell, Gesundheit), PHP-Version und Patch-Stand bewertet.
- Sofortmaßnahmen: Wo sich der Patch verzögert, werden die session.upload_progress-Einstellung, ein gehärtetes Speicherlimit, WAF-Regeln und Zugriffsbeschränkungen umgesetzt.
- Patch und Versions-Upgrade: Anbieter-Patches werden verifiziert; für nicht unterstützte Versionen (7.x, 8.0, 8.1) wird der Wechsel auf 8.3 / 8.4 geplant.
- Prüfung auf Kompromittierung: Serverlogs, Dateiintegrität, unerwartete Benutzer und geplante Aufgaben werden untersucht; Zugangsdaten werden bei Bedarf erneuert.
- Abschlussbericht: Status je System, durchgeführte Maßnahmen, verbleibende Risiken und Zeitplan, als Management-Zusammenfassung mit technischem Anhang.
Pflichten nach Branche
Das Team arbeitet von der Türkei aus, daher sind die türkischen Regeln unten Teil unserer Standard-Checkliste. Zusätzlich gelten die Vorschriften Ihres Landes und Ihrer Branche, etwa DSGVO, NIS2, DORA, BAIT/VAIT oder Vorgaben der FINMA; die Ergebnisse stimmen wir mit Ihrer Compliance-Abteilung ab.
| Branche | Warum kritisch | Worauf zu achten ist |
|---|---|---|
| Banken, Zahlungsverkehr, Versicherungen | Kunden- und Transaktionsdaten, laufende Prüfungen | IT-Regelungen von BDDK und SPK in der Türkei, Nachweisakte für die interne Revision, Nachverfolgung von Penetrationstests |
| Gesundheitswesen | Patientendaten sind besondere Kategorien personenbezogener Daten | KVKK und DSGVO, Zugriffsprotokolle, Termin- und Patientenportale |
| Öffentlicher Sektor und Kommunen | Die Meldung der Cybersicherheitsbehörde gilt unmittelbar | Türkischer Leitfaden für Informations- und Kommunikationssicherheit, Bürgerportale, E-Services |
| E-Commerce und Handel | Checkout, Kundenkonten, Kampagnen-Traffic | Zahlungssicherheit, Patchen ohne Ausfall, WAF- und CDN-Regeln |
| Konzerne und Mehrmarken-Unternehmen | Viele Domains, verschiedene Agenturen, alte Websites | Zentrales Inventar, Verantwortlichkeitsmatrix, ein einheitlicher Bericht |
| Bildung, Medien, Tourismus | Hoher Traffic, viele WordPress-Installationen | Gebündelte Versions-Upgrades, Bereinigung von Plugins |
Kommt es zu einer Datenschutzverletzung, erwartet das KVKK eine Meldung an die türkische Datenschutzbehörde innerhalb von 72 Stunden; die DSGVO sieht eine vergleichbare Frist vor. Bleibt eine bekannte Lücke ungepatcht, kann das bei der Bewertung von Fahrlässigkeit ins Gewicht fallen. Für die rechtliche Bewertung arbeiten wir mit Ihrer Rechtsabteilung zusammen.
Lieferumfang
- Inventartabelle aller PHP-Assets (Domain, Server, Version, Verantwortliche, Risikowert)
- Protokoll der eingespielten Patches und Übergangsmaßnahmen
- Befunde der Kompromittierungsprüfung und Liste erneuerter Zugangsdaten
- Roadmap für Versions-Upgrades oder Plattformwechsel nicht unterstützter Versionen
- Einseitige Risikozusammenfassung für Vorstand oder Geschäftsführung
Arbeitsmodelle
| Modell | Funktionsweise | Geeignet für |
|---|---|---|
| Einmaliges Audit mit Reaktion | Fester Umfang: Inventar, Patches, Kompromittierungsprüfung, Abschlussbericht | Organisationen, die PHP2Shell schnell schließen und nachweisen müssen |
| Audit plus Upgrade-Programm | Auf das Audit folgt ein geplanter Upgrade- oder Migrationspfad für nicht unterstützte Systeme | Landschaften mit vielen 7.x-, 8.0- oder 8.1-Anwendungen |
| Laufender Managed Service | Kontinuierliches Scannen, monatliche Berichte und Patch-Koordination im Rahmen des Schwachstellenmanagements | Unternehmen, die einen festen Prozess für die nächste kritische CVE wollen |
| Dediziertes Team | Fachkräfte arbeiten in Ihrem Security- oder Plattformteam mit, remote, vor Ort oder hybrid | Große Gruppen mit eigenem SOC oder Plattformbereich |
Rollen im Team
- Engagement Lead: Umfang, Prioritäten, Kommunikation mit Geschäftsführung und Prüfern.
- Security Engineers: externes Inventar, Scans, Kompromittierungsprüfung, Loganalyse.
- PHP- und DevOps-Engineers: Patches, Versions-Upgrades, Härtung der Konfiguration, Anpassungen an CI/CD.
- Reporting-Analyst: Inventartabelle, Nachweisakte und Management-Zusammenfassung.
Die Teams reichen von ein bis zwei Personen für mittelgroße Landschaften bis zu größeren Gruppen für Hunderte Anwendungen; wir skalieren von 1 bis 200+ Personen. Gearbeitet wird remote, vor Ort oder hybrid; in der Vorfallphase sind 24/7-Schichten möglich.
Kennzahlen im Bericht
| KPI | Aussage |
|---|---|
| Inventarabdeckung | Anteil der gefundenen PHP-Assets mit bestätigter Version und verantwortlicher Person |
| Zeit bis zur Absicherung | Zeit von der Entdeckung bis zu Patch oder Übergangsmaßnahme je Risikoklasse |
| Verbleibende Altversionen | Anzahl der Systeme auf 7.x, 8.0 oder 8.1 mit Zieldaten |
| Status Kompromittierungsprüfung | Geprüfte Systeme, Befunde, erneuerte Zugangsdaten |
| Offene Ausnahmen | Noch nicht patchbare Systeme mit kompensierenden Kontrollen und Verantwortlichen |
Was den Aufwand bestimmt (keine Festpreise)
- Anzahl der Domains, Subdomains und Server im Umfang
- Anteil der Systeme ohne bekannte Verantwortliche oder Dokumentation
- Anzahl nicht unterstützter PHP-Versionen und individueller Codebasen
- Erforderliches Zugriffsmodell (VPN, Jump-Host, vor Ort)
- Berichtstiefe, die Prüfer oder Aufsicht verlangen
- Bedarf an Arbeit außerhalb der Geschäftszeiten oder 24/7-Schichten
Checkliste für die Auswahl eines Partners
- Findet der Partner auch Assets, die Sie nicht kennen, und nicht nur die auf Ihrer Liste?
- Werden Anbieter-Patches verifiziert, statt nur Versionsnummern zu vertrauen?
- Wird auf Spuren einer Kompromittierung geprüft, nicht nur der Patch-Stand?
- Erfolgt der Zugriff unter NDA und Berechtigungsmatrix und wird er am Ende geschlossen?
- Taugt der Bericht sowohl für das technische Team als auch für die Geschäftsführung?
- Kann der Partner Upgrades oder Migrationen für Altsysteme übernehmen?
Vertrag, NDA und Datenschutz
Grundlage ist ein Dienst- oder Werkvertrag mit definiertem Leistungsumfang; es handelt sich um eine Dienstleistung, keine Arbeitnehmerüberlassung. AÜG und Scheinselbständigkeit sind bei klar abgegrenzten Leistungen in der Regel nicht berührt, eine Prüfung durch Ihre Rechtsberatung empfehlen wir dennoch. Die NDA wird vor dem ersten Gespräch unterzeichnet. Berichte, Skripte und Konfigurationen gehen in Ihr Eigentum über. Bei personenbezogenen Daten schließen wir einen AVV nach DSGVO mit Standardvertragsklauseln; unsere Verarbeitung in der Türkei folgt dem KVKK.
Verwandte Leistungen: PHP-Versions-Upgrade und Migration von PHP zu.NET für Altsysteme, Schwachstellenmanagement-Outsourcing für kontinuierliches Scannen und SOC und Security Monitoring für die Erkennung.
Häufig gestellte Fragen
Wir haben Dutzende Domains und Websites verschiedener Agenturen. Wo beginnen Sie?
Zuerst erfassen wir alle von außen sichtbaren Assets: Domains, Subdomains, IP-Bereiche und Zertifikatseinträge. PHP-Version, Hosting-Art und Verantwortliche jedes Systems führen wir in einer Tabelle zusammen. Danach wird die Reihenfolge nach Risikowert festgelegt: Internet-Exposition, Datensensibilität und Version.
Müssen wir Ihnen Zugriff auf unsere Server geben?
Externes Inventar und Versionserkennung sind ohne Zugriff möglich. Für Patches, Loganalyse und Kompromittierungsprüfung ist ein begrenzter, befristeter Zugriff nötig. Er wird unter NDA und Berechtigungsmatrix erteilt, nach Abschluss geschlossen und im Bericht dokumentiert.
Erhalten wir einen Bericht für Prüfer und Vorstand?
Ja. Das technische Team erhält eine Liste der Befunde und Maßnahmen je System, die Geschäftsführung eine einseitige Risikozusammenfassung mit Erledigungsstand. Der Bericht ist so aufgebaut, dass er als Nachweis in DSGVO-, KVKK- oder Revisionsprozessen dienen kann.
Was tun Sie, wenn wir bereits angegriffen wurden?
Zuerst isolieren wir das betroffene System und untersuchen Logs und Dateien unter Sicherung der Beweise. Zugangsdaten, API- und Sitzungsschlüssel werden erneuert. Sind personenbezogene Daten betroffen, bereiten wir für Ihre Rechtsabteilung die technischen Informationen für die 72-Stunden-Meldung nach DSGVO oder KVKK auf.
Arbeiten Sie auch nachts und am Wochenende?
Ja. Bei Notfällen im Unternehmen werden Nacht- und Wochenendeinsätze geplant. Patches und Neustarts erfolgen in verkehrsarmen Zeiten, um Ausfallrisiken zu senken; 24/7-Schichten sind möglich.
Welche Regelwerke berücksichtigen Sie?
Das Team arbeitet in der Türkei, daher sind KVKK und gegebenenfalls BDDK- und SPK-Vorgaben Teil unserer Checkliste. Die Vorschriften Ihres Landes und Ihrer Branche gelten zusätzlich; den Bericht stimmen wir mit Ihrer Compliance-Abteilung ab.
Wie lange dauert ein Unternehmens-Audit?
Das externe Inventar liegt nach 48 Stunden vor. Die Gesamtdauer hängt von der Zahl der Systeme, den Zugriffswegen und der Menge nicht unterstützter Versionen ab; den Zeitplan teilen wir nach dem Inventar mit.
Können Sie nach dem Audit weiterarbeiten?
Ja. Nicht unterstützte Systeme können in einen Upgrade- oder Migrationspfad überführt und die gesamte Landschaft in ein kontinuierliches Schwachstellenmanagement aufgenommen werden.
Arbeiten Sie mit unserem bestehenden SOC oder Dienstleister zusammen?
Ja. Wir können unter der Koordination Ihres SOC, MSSP oder internen Security-Teams arbeiten und unsere Befunde in deren Werkzeuge und Ticketprozesse einspeisen.
Unternehmensreaktion anfragen
Nennen Sie uns Ihr Unternehmen, die ungefähre Zahl der Domains und Server sowie die technische Ansprechperson. Unternehmensanfragen werden am selben Tag von einem erfahrenen Teammitglied zurückgerufen; die NDA wird vor dem ersten Gespräch unterzeichnet. Telefon: +90 850 335 10 87, WhatsApp, E-Mail info@360-soft.com oder unsere Kontaktseite. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.
Quellen: Erklärung der türkischen Cybersicherheitsbehörde (21. Oktober 2026), PHP-Sicherheitsankündigung, technische Hinweise von Tenable und Wiz. Stand: 22. Oktober 2026.
