En resumen: la vulnerabilidad de PHP en TYPO3, PHP2Shell, no afecta a TYPO3 en sí, sino al PHP que hay debajo. Por eso una actualización de TYPO3 no ayuda. Compruebe la versión de PHP y el reinicio, bloquee el Install Tool y controle fileadmin, typo3temp y las extensiones instaladas.
Por qué los operadores de TYPO3 deberían actuar ahora
En Alemania, TYPO3 está muy extendido entre municipios, universidades, asociaciones y pymes. Muchos de estos sitios web funcionan de forma estable desde hace años y se tocan muy raramente. Precisamente eso los hace vulnerables a PHP2Shell: las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 están en el intérprete de PHP y, según el equipo de PHP, permiten ejecutar código malicioso de forma remota y sin autenticación.
El BSI (Oficina Federal alemana para la Seguridad de la Información) ha declarado el nivel de alerta 3 (naranja) y recomienda actualizar de inmediato. Si no es posible, los servidores web deben desconectarse temporalmente de la red. Encontrará un resumen de la situación oficial en Qué recomienda el BSI sobre PHP2Shell.
Vulnerabilidad de PHP en TYPO3: comprobar la versión de PHP en el backend
Los administradores ven la versión de PHP en TYPO3 en dos lugares: en la información del sistema de la barra superior del backend y en Admin Tools > Entorno (en las versiones más recientes, en el módulo Sistema). Allí TYPO3 también comprueba si el entorno cumple los requisitos.
Las versiones corregidas de origen son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Muchos servidores TYPO3 funcionan sobre distribuciones de Linux que entregan las correcciones como backport; entonces el número de versión no cambia. Lo decisivo son el estado de los paquetes y la confirmación del operador. Qué versiones de PHP admite su versión de TYPO3 puede consultarlo, según los requisitos del sistema, en typo3.org.
Además, muchas instalaciones de TYPO3 ejecutan el Scheduler mediante un cron job con el PHP de línea de comandos. Ese PHP de CLI puede ser una versión distinta del PHP web y debe estar parcheado igualmente. En caso de duda, compruebe qué ruta de PHP figura en el cron job. En configuraciones con varios servidores, esto vale para cada servidor, también para los servidores de redacción y de vista previa, que a menudo se olvidan.
En servidores antiguos de administraciones, PHP suele ejecutarse todavía como módulo de Apache. El equipo de PHP clasifica este modo de funcionamiento como el de mayor riesgo; por qué se explica en Por qué mod_php conlleva el mayor riesgo.
Directorios y configuración en TYPO3
La estructura depende de la versión y del tipo de instalación. Las instalaciones más recientes mediante Composer separan los archivos públicos de los internos; las instalaciones clásicas más antiguas, no.
| Lugar | Contenido | Punto de control |
|---|---|---|
config/system/settings.php o typo3conf/LocalConfiguration.php (versiones antiguas) |
Acceso a la base de datos, clave de cifrado, contraseña del Install Tool | Fecha de modificación; renovar los valores ante una sospecha |
fileadmin/ |
Archivos de los redactores | Aquí no deben estar los archivos PHP |
typo3temp/ |
Archivos temporales con permiso de escritura | Archivos PHP inesperados |
typo3conf/ext/ o vendor/ |
Extensiones | Extensiones desconocidas o modificadas |
var/log/ o typo3temp/var/log/ |
Registros | Guardar antes de hacer cambios |
Comprobaciones inofensivas en la línea de comandos; adapte las rutas a su instalación:
# Archivos PHP en los directorios de redactores y temporales
find public/fileadmin public/typo3temp -type f -name "*.php"
# ¿Hay por ahí un archivo de habilitación del Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Mostrar las extensiones activas (instalación con Composer)
vendor/bin/typo3 extension:list
Impida la ejecución de PHP en fileadmin y typo3temp a nivel del servidor web. Así, una webshell depositada allí, aunque haya llegado al servidor, al menos no se podrá invocar directamente.
Backend, Install Tool y extensiones
El backend está en /typo3. Revise los usuarios del backend en busca de cuentas desconocidas con derechos de administrador y de cuentas de antiguos empleados o agencias. TYPO3 conoce además los «System Maintainer», con derechos especialmente amplios en el área Admin Tools; esta lista debería ser muy corta.
El Install Tool tiene su propia contraseña. Ante una sospecha, renuévela igual que la clave de cifrado. Las extensiones del TYPO3 Extension Repository y los desarrollos propios son código adicional; precisamente los desarrollos propios más antiguos frenan con frecuencia una actualización de PHP. Registre qué extensiones se necesitan realmente.
Lo que logra una actualización de TYPO3 y lo que no
Una actualización de TYPO3 cierra errores conocidos del núcleo, y una actualización de una extensión, errores de esa extensión. Ninguna de las dos parchea PHP, reinicia procesos ni elimina una webshell de fileadmin. Así, incluso un TYPO3 recién actualizado puede contener una puerta trasera de la época anterior al parche. A ello se suma que, en versiones antiguas de TYPO3, el cambio a una versión más reciente de PHP puede requerir una actualización de TYPO3. Entonces necesita una protección transitoria y un calendario.
Para las entidades públicas se añade la documentación. Deje constancia de cuándo se aplicó el parche, cuándo se reinició y qué comprobaciones se hicieron con qué resultado. Eso facilita las consultas de seguridad de la información, protección de datos y auditoría de cuentas. Su proveedor de servicios también debería confirmarle estos puntos por escrito.
¿Cómo ayuda PHP SOS en concreto?
- Determinamos la versión de PHP, el modo de funcionamiento y el estado de los backports de su servidor TYPO3 y hacemos que se confirme el reinicio.
- Guardamos los registros a partir del 20/10/2026 y el estado actual de archivos y base de datos.
- Revisamos
fileadmin,typo3temp, la configuración, las extensiones y las cuentas del backend en busca de anomalías. - En el marco del refuerzo del servidor bloqueamos la ejecución de PHP en las carpetas de subida y documentamos el estado para su seguridad de la información.
Preguntas frecuentes
¿Debo actualizar TYPO3 por PHP2Shell?
Una actualización de TYPO3 no cierra PHP2Shell, porque la vulnerabilidad está en el PHP del servidor. Aun así, mantenga TYPO3 actualizado. Para PHP2Shell necesita una actualización de PHP o un backport confirmado, y el reinicio de todos los procesos de PHP.
¿Dónde veo la versión de PHP en TYPO3?
Los administradores la ven en la información del sistema de la barra superior del backend y, en Admin Tools, en el apartado Entorno. TYPO3 no muestra si se ha aplicado un backport; eso lo confirma el proveedor de hosting o el administrador del servidor.
¿Qué es el archivo ENABLE_INSTALL_TOOL?
Habilita el Install Tool, con el que se pueden modificar ajustes centrales. En el funcionamiento normal, el archivo no debería existir. Si aparece inesperadamente, es motivo para una revisión más a fondo.
¿Existen obligaciones especiales para las administraciones con TYPO3?
Las entidades públicas suelen orientarse por el IT-Grundschutz del BSI y por las directrices de su estado federado. Qué obligaciones se aplican en cada caso lo aclara con su responsable de seguridad de la información y de protección de datos.