Εν συντομία: Η ευπάθεια PHP2Shell της PHP που αφορά το TYPO3 δεν επηρεάζει το ίδιο το TYPO3, αλλά την PHP από κάτω. Μια ενημέρωση του TYPO3 δεν βοηθά επομένως. Ελέγξτε την κατάσταση της PHP και την επανεκκίνηση, κλειδώστε το Install Tool και ελέγξτε τα fileadmin, typo3temp και τα εγκατεστημένα extensions.
Γιατί οι διαχειριστές TYPO3 πρέπει να δράσουν τώρα
Το TYPO3 είναι διαδεδομένο στη Γερμανία σε δήμους, πανεπιστήμια, ενώσεις και μεσαίες επιχειρήσεις. Πολλοί από αυτούς τους ιστοτόπους λειτουργούν εδώ και χρόνια σταθερά και σπάνια τους αγγίζει κανείς. Αυτό ακριβώς τους κάνει ευάλωτους στο PHP2Shell: οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 βρίσκονται στον διερμηνέα PHP και επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση.
Το BSI έχει κηρύξει προειδοποίηση επιπέδου 3 (πορτοκαλί) και συνιστά άμεση ενημέρωση. Αν αυτό δεν είναι δυνατό, οι διακομιστές ιστού πρέπει να αποσυνδεθούν προσωρινά από το δίκτυο. Μια σύνοψη της επίσημης κατάστασης θα βρείτε στο Τι συνιστά το BSI για το PHP2Shell.
Ευπάθεια PHP στο TYPO3: έλεγχος της έκδοσης PHP στο backend
Οι διαχειριστές βλέπουν την έκδοση PHP στο TYPO3 σε δύο σημεία: στις πληροφορίες συστήματος στην πάνω μπάρα του backend και στο Admin Tools > Περιβάλλον (στις νεότερες εκδόσεις στην ενότητα Σύστημα). Εκεί το TYPO3 ελέγχει επίσης αν το περιβάλλον ταιριάζει με τις απαιτήσεις.
Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Πολλοί διακομιστές TYPO3 εκτελούνται σε διανομές Linux που παραδίδουν τις διορθώσεις ως backport· τότε ο αριθμός έκδοσης παραμένει ο ίδιος. Καθοριστικά είναι η κατάσταση των πακέτων και η επιβεβαίωση του φορέα λειτουργίας. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του TYPO3 σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στο typo3.org.
Πολλές εγκαταστάσεις TYPO3 εκτελούν επιπλέον τον Scheduler μέσω cronjob με την PHP της γραμμής εντολών. Αυτή η PHP CLI μπορεί να είναι άλλη έκδοση από την PHP του ιστού και πρέπει να έχει επίσης patch. Αν έχετε αμφιβολία, ελέγξτε ποια διαδρομή PHP αναγράφεται στο cronjob. Σε διαμορφώσεις με πολλούς διακομιστές αυτό ισχύει για κάθε μεμονωμένο διακομιστή, και για τους διακομιστές συντακτών και προεπισκόπησης, που συχνά ξεχνιούνται.
Σε παλαιότερους διακομιστές δημόσιων φορέων η PHP εκτελείται συχνά ακόμη ως μονάδα Apache. Αυτόν τον τρόπο λειτουργίας η ομάδα της PHP τον κατατάσσει στον υψηλότερο κίνδυνο· γιατί, εξηγεί το Γιατί το mod_php φέρει τον υψηλότερο κίνδυνο.
Φάκελοι και διαμόρφωση στο TYPO3
Η δομή εξαρτάται από την έκδοση και τον τρόπο εγκατάστασης. Οι νεότερες εγκαταστάσεις μέσω Composer διαχωρίζουν δημόσια και εσωτερικά αρχεία, οι παλαιότερες κλασικές εγκαταστάσεις όχι.
| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
config/system/settings.php ή typo3conf/LocalConfiguration.php (παλαιότερες εκδόσεις) |
Στοιχεία πρόσβασης στη βάση δεδομένων, κλειδί κρυπτογράφησης, κωδικός του Install Tool | Ημερομηνία αλλαγής, ανανέωση των τιμών μετά από υποψία |
fileadmin/ |
Αρχεία των συντακτών | Τα αρχεία PHP δεν ανήκουν εδώ |
typo3temp/ |
Εγγράψιμα προσωρινά αρχεία | Απρόσμενα αρχεία PHP |
typo3conf/ext/ ή vendor/ |
Extensions | Άγνωστα ή αλλαγμένα extensions |
var/log/ ή typo3temp/var/log/ |
Αρχεία καταγραφής | Διάσωση πριν από αλλαγές |
Ακίνδυνοι έλεγχοι στη γραμμή εντολών, προσαρμόστε τις διαδρομές στην εγκατάστασή σας:
# Αρχεία PHP σε φακέλους συντακτών και προσωρινών αρχείων
find public/fileadmin public/typo3temp -type f -name "*.php"
# Υπάρχει κάπου αρχείο ενεργοποίησης για το Install Tool;
find . -name "ENABLE_INSTALL_TOOL"
# Εμφάνιση ενεργών extensions (εγκατάσταση με Composer)
vendor/bin/typo3 extension:list
Αποτρέψτε την εκτέλεση PHP στα fileadmin και typo3temp σε επίπεδο διακομιστή ιστού. Έτσι ένα webshell που έχει τοποθετηθεί εκεί δεν μπορεί τουλάχιστον να κληθεί απευθείας, ακόμη κι αν έφτασε στον διακομιστή.
Backend, Install Tool και extensions
Το backend βρίσκεται στο /typo3. Ελέγξτε τους χρήστες του backend για άγνωστους λογαριασμούς με δικαιώματα διαχειριστή και για λογαριασμούς πρώην υπαλλήλων ή πρακτορείων. Το TYPO3 γνωρίζει επιπλέον τους «System Maintainers» με ιδιαίτερα εκτεταμένα δικαιώματα στην ενότητα Admin Tools· αυτή η λίστα πρέπει να είναι πολύ σύντομη.
Το Install Tool έχει δικό του κωδικό. Μετά από υποψία ανανεώστε τον όπως και το κλειδί κρυπτογράφησης. Τα extensions από το TYPO3 Extension Repository και οι δικές σας αναπτύξεις είναι πρόσθετος κώδικας· ειδικά παλαιότερες δικές σας αναπτύξεις συχνά καθυστερούν μια αναβάθμιση της PHP. Καταγράψτε ποια extensions χρειάζεστε πραγματικά.
Τι προσφέρει μια ενημέρωση του TYPO3 και τι όχι
Μια ενημέρωση του TYPO3 κλείνει γνωστά σφάλματα στον πυρήνα, μια ενημέρωση extension σφάλματα στο extension. Κανένα από τα δύο δεν κάνει patch στην PHP, δεν επανεκκινεί διεργασίες και δεν αφαιρεί webshell από το fileadmin. Έτσι και ένα μόλις ενημερωμένο TYPO3 μπορεί να περιέχει μια κερκόπορτα από την εποχή πριν από το patch. Επιπλέον, η μετάβαση σε νεότερη έκδοση PHP μπορεί, σε παλιές εκδόσεις TYPO3, να προϋποθέτει αναβάθμιση του TYPO3. Τότε χρειάζεστε προσωρινή προστασία και χρονοδιάγραμμα.
Για δημόσιους φορείς προστίθεται η τεκμηρίωση. Καταγράψτε πότε εφαρμόστηκε το patch και πότε έγινε επανεκκίνηση και ποιοι έλεγχοι έγιναν με ποιο αποτέλεσμα. Αυτό διευκολύνει ερωτήματα από την ασφάλεια πληροφοριών, την προστασία δεδομένων και τον έλεγχο λογαριασμών. Και ο πάροχος υπηρεσιών σας πρέπει να σας επιβεβαιώσει γραπτά αυτά τα σημεία.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διαπιστώνουμε την έκδοση PHP, τον τρόπο λειτουργίας και την κατάσταση των backports του διακομιστή TYPO3 σας και ζητάμε επιβεβαίωση της επανεκκίνησης.
- Διασώζουμε logs από τις 20/10/2026 και την τρέχουσα κατάσταση αρχείων και βάσης δεδομένων.
- Ελέγχουμε τα
fileadmin,typo3temp, τη διαμόρφωση, τα extensions και τους λογαριασμούς backend για ανωμαλίες. - Στο πλαίσιο της σκλήρυνσης διακομιστή αποκλείουμε την εκτέλεση PHP σε φακέλους upload και τεκμηριώνουμε την κατάσταση για την ασφάλεια πληροφοριών σας.
Συχνές ερωτήσεις
Πρέπει να ενημερώσω το TYPO3 εξαιτίας του PHP2Shell;
Μια ενημέρωση του TYPO3 δεν κλείνει το PHP2Shell, επειδή η ευπάθεια βρίσκεται στην PHP του διακομιστή. Κρατήστε παρ' όλα αυτά το TYPO3 ενημερωμένο. Για το PHP2Shell χρειάζεστε ενημέρωση της PHP ή επιβεβαιωμένο backport και επανεκκίνηση όλων των διεργασιών PHP.
Πού βλέπω στο TYPO3 την έκδοση PHP;
Οι διαχειριστές τη βλέπουν στις πληροφορίες συστήματος στην πάνω μπάρα του backend και στην ενότητα Admin Tools, στο Περιβάλλον. Το TYPO3 δεν δείχνει αν έχει ενσωματωθεί backport· αυτό το επιβεβαιώνει ο πάροχος φιλοξενίας ή ο διαχειριστής του διακομιστή.
Τι είναι το αρχείο ENABLE_INSTALL_TOOL;
Ενεργοποιεί το Install Tool, με το οποίο μπορούν να αλλάξουν κεντρικές ρυθμίσεις. Στην κανονική λειτουργία το αρχείο δεν πρέπει να υπάρχει. Αν βρεθεί απρόσμενα, αυτό είναι λόγος για πιο προσεκτικό έλεγχο.
Ισχύουν ιδιαίτερες υποχρεώσεις για δημόσιους φορείς με TYPO3;
Οι δημόσιοι φορείς προσανατολίζονται συχνά στον IT-Grundschutz του BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) και στις προδιαγραφές της χώρας τους. Ποιες υποχρεώσεις ισχύουν σε κάθε περίπτωση, το διευκρινίζετε με τον υπεύθυνο ασφάλειας πληροφοριών και προστασίας δεδομένων.