# TYPO3 уязвимост в PHP – PHP2Shell: как да защитите правилно уебсайтове

> TYPO3 и PHP2Shell: проверка на PHP в бекенда, контрол на fileadmin и typo3temp, заключване на Install Tool и поглед върху разширенията (extensions).

Източник: https://phpsos.de/bg/plattformen/typo3/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Уязвимостта в PHP при TYPO3, PHP2Shell, не засяга самия TYPO3, а PHP под него. Затова актуализация на TYPO3 не помага. Проверете състоянието на PHP и рестартирането, заключете Install Tool и проверете `fileadmin`, `typo3temp` и инсталираните разширения (extensions).

## Защо операторите на TYPO3 трябва да действат сега

TYPO3 е разпространен в Германия при общини, висши училища, сдружения и средни фирми. Много от тези уебсайтове работят стабилно от години и рядко се пипат. Точно това ги прави уязвими при PHP2Shell: уязвимостите CVE-2026-109618 и CVE-2026-109619 са в интерпретатора на PHP и позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата.

BSI (Федерална служба за информационна сигурност на Германия) обяви ниво на предупреждение 3 (оранжево) и препоръча незабавна актуализация. Ако това не е възможно, уеб сървърите трябва временно да се изключат от мрежата. Обобщение на официалното положение ще намерите на страницата [Какво препоръчва BSI за PHP2Shell](https://phpsos.de/bg/compliance/bsi-empfehlungen/).

## Уязвимост в PHP при TYPO3: проверка на състоянието на PHP в бекенда

Администраторите виждат версията на PHP в TYPO3 на две места: в системната информация в горната лента на бекенда и под **Admin Tools > Environment** (в по-новите версии в модула System). Там TYPO3 проверява и дали средата отговаря на изискванията.

Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Много сървъри с TYPO3 работят на Linux дистрибуции, които доставят корекциите като backport; тогава номерът на версията остава същият. Решаващи са състоянието на пакета и потвърждението на оператора. Кои версии на PHP поддържа Вашата версия на TYPO3, проверете според системните изисквания на typo3.org.

Много инсталации на TYPO3 освен това изпълняват Scheduler чрез cron задача с PHP за командния ред. Този CLI PHP може да е друга версия от уеб PHP и също трябва да е пачнат. При съмнение проверете кой път към PHP е записан в cron задачата. При настройки с няколко сървъра това важи за всеки отделен сървър, и за редакционните и предварителните сървъри, които често се забравят.

На по-стари сървъри на институции PHP често още работи като модул на Apache. Екипът на PHP оценява този режим на работа като най-висок риск; защо, обяснява [Защо mod_php носи най-висок риск](https://phpsos.de/bg/php2shell/mod-php-risiko/).

## Директории и конфигурация в TYPO3

Структурата зависи от версията и вида на инсталацията. По-новите инсталации чрез Composer разделят публичните и вътрешните файлове, по-старите класически инсталации не го правят.

| Място | Съдържание | Какво да проверите |
|---|---|---|
| `config/system/settings.php` респ. `typo3conf/LocalConfiguration.php` (по-стари версии) | достъп до базата данни, ключ за криптиране, парола на Install Tool | дата на промяна, при подозрение сменете стойностите |
| `fileadmin/` | файлове на редакторите | тук не бива да има PHP файлове |
| `typo3temp/` | временни файлове с право за запис | неочаквани PHP файлове |
| `typo3conf/ext/` респ. `vendor/` | разширения (extensions) | непознати или променени разширения |
| `var/log/` респ. `typo3temp/var/log/` | протоколи | запазете преди промени |

Безопасни проверки в командния ред, пътищата моля адаптирайте към Вашата инсталация:

```bash
# PHP файлове в директориите на редакторите и в temp директориите
find public/fileadmin public/typo3temp -type f -name "*.php"
# Налице ли е файл за отключване на Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Показване на активните разширения (инсталация чрез Composer)
vendor/bin/typo3 extension:list
```

> **Съвет:**
> Забранете изпълнението на PHP във `fileadmin` и `typo3temp` на ниво уеб сървър. Така качен там уеб шел поне не може да се извика директно, дори и да е стигнал до сървъра.

## Бекенд, Install Tool и разширения

Бекендът е на `/typo3`. Проверете бекенд потребителите за непознати акаунти с администраторски права и за акаунти на бивши служители или агенции. TYPO3 познава допълнително „System Maintainer“ с особено широки права в областта Admin Tools; този списък трябва да е много кратък.

Install Tool има собствена парола. При подозрение я подновете, както и ключа за криптиране. Разширенията от TYPO3 Extension Repository и собствените разработки са допълнителен код; най-вече по-старите собствени разработки често спират надграждането на PHP. Установете кои разширения наистина са нужни.

## Какво постига актуализацията на TYPO3 и какво не

Актуализацията на TYPO3 затваря известни грешки в ядрото, актуализацията на разширение – грешки в разширението. И двете не пачват PHP, не рестартират процеси и не премахват уеб шел от `fileadmin`. Дори свежо актуализиран TYPO3 може да съдържа задна вратичка от времето преди пача. Освен това смяната към по-нова версия на PHP при стари състояния на TYPO3 може да изисква надграждане на TYPO3. Тогава Ви трябват преходна защита и график.

За публичните органи се добавя документацията. Запишете кога е внесен пачът и кога е направено рестартиране и какви проверки са извършени с какъв резултат. Това улеснява запитванията на информационната сигурност, защитата на данните и одита. И Вашият доставчик трябва да Ви потвърди тези точки писмено.

## Как помага PHP SOS конкретно?

- Установяваме версията на PHP, режима на работа и състоянието на backport-овете на Вашия сървър с TYPO3 и получаваме потвърждение за рестартирането.
- Запазваме логове от 20.10.2026 г. нататък и текущото състояние на файловете и базата данни.
- Проверяваме `fileadmin`, `typo3temp`, конфигурацията, разширенията и бекенд акаунтите за нередности.
- В рамките на [заздравяването на сървъра](https://phpsos.de/bg/leistungen/server-haertung/) блокираме изпълнението на PHP в папките за качване и документираме състоянието за Вашата информационна сигурност.


## Често задавани въпроси

**Трябва ли да актуализирам TYPO3 заради PHP2Shell?**  
Актуализацията на TYPO3 не затваря PHP2Shell, защото уязвимостта е в PHP на сървъра. Все пак дръжте TYPO3 актуален. За PHP2Shell Ви трябват актуализация на PHP или потвърден backport и рестартиране на всички PHP процеси.

**Къде виждам версията на PHP в TYPO3?**  
Администраторите я виждат в системната информация в горната лента на бекенда и в областта Admin Tools под Environment. Дали е внесен backport, TYPO3 не показва; това потвърждава хостинг доставчикът или администраторът на сървъра.

**Какво е файлът ENABLE_INSTALL_TOOL?**  
Той отключва Install Tool, с който могат да се променят централни настройки. При нормална експлоатация файлът не трябва да съществува. Ако се намери неочаквано, това е повод за по-внимателна проверка.

**Важат ли особени задължения за институции с TYPO3?**  
Публичните органи често се ръководят от IT-Grundschutz на BSI и от изискванията на своята провинция. Какви задължения важат в конкретния случай, изяснете с Вашето длъжностно лице по информационна сигурност и по защита на данните.

## Източници

- [php.net: Съобщения за сигурност](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI (Федерална служба за информационна сигурност на Германия)](https://www.bsi.bund.de/)