Kort sagt: TYPO3 PHP-sårbarheden PHP2Shell berører ikke TYPO3 selv, men PHP nedenunder. En TYPO3-opdatering hjælper derfor ikke. Kontrollér PHP-status og genstart, spær Install Tool, og gennemgå fileadmin, typo3temp og de installerede extensions.
Hvorfor TYPO3-driftsansvarlige bør handle nu
TYPO3 er i Tyskland udbredt hos kommuner, højere læreanstalter, foreninger og i mellemstore virksomheder. Mange af disse websites har kørt stabilt i årevis og bliver kun sjældent rørt. Netop det gør dem sårbare ved PHP2Shell: Sårbarhederne CVE-2026-109618 og CVE-2026-109619 ligger i PHP-fortolkeren og gør det ifølge PHP-teamet muligt at køre skadelig kode på afstand uden login.
BSI (det tyske forbundsagentur for informationssikkerhed) har udråbt advarselsniveau 3 (orange) og anbefaler en øjeblikkelig opdatering. Er det ikke muligt, skal webservere tages midlertidigt af nettet. En sammenfatning af den officielle situation finder I under Hvad BSI anbefaler om PHP2Shell.
TYPO3 PHP-sårbarhed: kontrollér PHP-status i backend
Administratorer ser PHP-versionen i TYPO3 to steder: i systeminformationen i backendens øverste bjælke og under Admin Tools > Miljø (i nyere versioner i modulet System). Dér kontrollerer TYPO3 også, om miljøet passer til kravene.
Rettede upstream-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Mange TYPO3-servere kører på Linux-distributioner, der leverer rettelser som backport; så forbliver versionsnummeret det samme. Afgørende er pakkestatus og driftsleverandørens bekræftelse. Hvilke PHP-versioner jeres TYPO3-version understøtter, kontrollerer I ifølge systemkravene på typo3.org.
Mange TYPO3-installationer kører desuden scheduleren via et cronjob med kommandolinje-PHP. Dette CLI-PHP kan være en anden version end web-PHP og skal være patchet ligeså. Kontrollér i tvivlstilfælde, hvilken PHP-sti der står i cronjobbet. Ved opsætninger med flere servere gælder det hver enkelt server, også redaktions- og forhåndsvisningsservere, som ofte glemmes.
På ældre myndighedsservere kører PHP ofte stadig som Apache-modul. Denne driftsform vurderer PHP-teamet som den højeste risiko; hvorfor, forklarer Hvorfor mod_php bærer den højeste risiko.
Mapper og konfiguration i TYPO3
Strukturen afhænger af version og installationsform. Nyere installationer via Composer adskiller offentlige og interne filer, ældre klassiske installationer gør ikke.
| Sted | Indhold | Kontrolpunkt |
|---|---|---|
config/system/settings.php hhv. typo3conf/LocalConfiguration.php (ældre versioner) |
Databaseadgang, krypteringsnøgle, Install Tool-adgangskode | Ændringsdato, forny værdier ved mistanke |
fileadmin/ |
Redaktørernes filer | PHP-filer hører ikke hjemme her |
typo3temp/ |
skrivbare midlertidige filer | uventede PHP-filer |
typo3conf/ext/ hhv. vendor/ |
Extensions | ukendte eller ændrede extensions |
var/log/ hhv. typo3temp/var/log/ |
Logfiler | sikres før ændringer |
Ufarlige kontroller på kommandolinjen, tilpas stierne til jeres installation:
# PHP-filer i redaktør- og temp-mapper
find public/fileadmin public/typo3temp -type f -name "*.php"
# Ligger der en frigivelsesfil til Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Vis aktive extensions (Composer-installation)
vendor/bin/typo3 extension:list
Forhindr kørsel af PHP i fileadmin og typo3temp på webserverniveau. Så kan en webshell, der er lagt dér, i det mindste ikke kaldes direkte, selv om den er kommet ind på serveren.
Backend, Install Tool og extensions
Backend ligger under /typo3. Kontrollér backend-brugerne for ukendte konti med administratorrettigheder og for konti tilhørende tidligere medarbejdere eller bureauer. TYPO3 kender desuden "System Maintainer" med særligt vidtgående rettigheder i området Admin Tools; denne liste bør være meget kort.
Install Tool har sin egen adgangskode. Ved mistanke fornyer I den ligesom krypteringsnøglen. Extensions fra TYPO3 Extension Repository og egenudviklinger er yderligere kode; netop ældre egenudviklinger bremser ofte en PHP-opgradering. Registrér, hvilke extensions der virkelig bruges.
Hvad en TYPO3-opdatering kan, og hvad den ikke kan
En TYPO3-opdatering lukker kendte fejl i core, en extension-opdatering fejl i extensionen. Ingen af dem patcher PHP, genstarter processer eller fjerner en webshell fra fileadmin. Selv en frisk opdateret TYPO3 kan altså indeholde en bagdør fra tiden før rettelsen. Hertil kommer, at et skifte til en nyere PHP-version ved gamle TYPO3-versioner kan forudsætte en TYPO3-opgradering. Så har I brug for midlertidig beskyttelse og en tidsplan.
For offentlige myndigheder kommer dokumentationen til. Notér, hvornår rettelsen blev indspillet, og hvornår der blev genstartet, og hvilke kontroller der kørte med hvilket resultat. Det letter forespørgsler fra informationssikkerhed, databeskyttelse og revision. Også jeres tjenesteudbyder bør bekræfte disse punkter skriftligt.
Hvordan hjælper PHP SOS konkret?
- Vi fastslår PHP-version, driftsform og backport-status på jeres TYPO3-server og lader genstarten bekræfte.
- Vi sikrer logs fra 20.10.2026 og den aktuelle tilstand af filer og database.
- Vi kontrollerer
fileadmin,typo3temp, konfiguration, extensions og backend-konti for uregelmæssigheder. - Som led i serverhærdningen spærrer vi kørsel af PHP i upload-mapper og dokumenterer status til jeres informationssikkerhed.
Ofte stillede spørgsmål
Skal jeg opdatere TYPO3 på grund af PHP2Shell?
En TYPO3-opdatering lukker ikke PHP2Shell, fordi sårbarheden ligger i serverens PHP. Hold alligevel TYPO3 aktuel. Til PHP2Shell har I brug for en PHP-opdatering eller en bekræftet backport og genstart af alle PHP-processer.
Hvor ser jeg PHP-versionen i TYPO3?
Administratorer ser den i systeminformationen i backendens øverste bjælke og i området Admin Tools under Miljø. Om en backport er indspillet, viser TYPO3 ikke; det bekræfter hostingudbyderen eller serveradministratoren.
Hvad er filen ENABLE_INSTALL_TOOL?
Den frigiver Install Tool, som kan bruges til at ændre centrale indstillinger. I normal drift bør filen ikke eksistere. Findes den uventet, er det en grund til en nøjere kontrol.
Gælder der særlige forpligtelser for myndigheder med TYPO3?
Offentlige myndigheder retter sig ofte efter BSI's IT-Grundschutz og efter krav fra deres delstat. Hvilke forpligtelser der gælder i det enkelte tilfælde, afklarer I med jeres informationssikkerheds- og databeskyttelsesansvarlige.