# TYPO3 PHP turvaauk PHP2Shell: veebisaitide õige kaitsmine

> TYPO3 ja PHP2Shell: kontrollige PHP seisu taustaliideses, vaadake üle fileadmin ja typo3temp, blokeerige Install Tool ning hoidke laiendused silma all.

Allikas: https://phpsos.de/et/plattformen/typo3/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** TYPO3 PHP turvaauk PHP2Shell ei puuduta TYPO3 ennast, vaid selle all olevat PHP-d. TYPO3 uuendus seetõttu ei aita. Kontrollige PHP seisu ja taaskäivitust, blokeerige Install Tool ning vaadake üle `fileadmin`, `typo3temp` ja paigaldatud laiendused (extension).

## Miks TYPO3 haldajad peaksid nüüd tegutsema

TYPO3 on Saksamaal levinud omavalitsustes, ülikoolides, liitudes ja keskmistes ettevõtetes. Paljud neist veebisaitidest töötavad aastaid stabiilselt ja neid puudutatakse harva. Just see teeb need PHP2Shelli puhul haavatavaks: turvaaugud CVE-2026-109618 ja CVE-2026-109619 asuvad PHP interpretaatoris ja võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta.

BSI (Saksamaa föderaalne infoturbeamet) on välja kuulutanud hoiatustaseme 3 (oranž) ja soovitab kohe uuendada. Kui see ei ole võimalik, tuleks veebiserverid ajutiselt võrgust maha võtta. Ametliku olukorra kokkuvõtte leiate lehelt [Mida BSI PHP2Shelli kohta soovitab](https://phpsos.de/et/compliance/bsi-empfehlungen/).

## TYPO3 PHP turvaauk: PHP seisu kontrollimine taustaliideses

Administraatorid näevad TYPO3-s PHP versiooni kahes kohas: taustaliidese ülemise riba süsteemiinfos ja menüüs **Admin Tools > Keskkond** (uuemates versioonides moodulis System). Seal kontrollib TYPO3 ka, kas keskkond vastab nõuetele.

Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Paljud TYPO3 serverid töötavad Linuxi distributsioonidel, mis tarnivad parandused tagasiportimisena (backport); siis jääb versiooninumber samaks. Otsustavad on pakettide seis ja haldaja kinnitus. Milliseid PHP versioone teie TYPO3 versioon toetab, kontrollige süsteeminõuete järgi lehel typo3.org.

Paljud TYPO3 paigaldused käivitavad lisaks Scheduleri cron-töö kaudu käsurea PHP-ga. See CLI-PHP võib olla teine versioon kui veebi-PHP ja see peab olema samamoodi paigatud. Kahtluse korral kontrollige, milline PHP rada on cron-töös. Mitme serveri lahenduste puhul kehtib see iga üksiku serveri kohta, ka toimetuse- ja eelvaateserverite kohta, mis sageli ununevad.

Vanematel ametiasutuste serveritel töötab PHP sageli veel Apache'i moodulina. Seda töörežiimi hindab PHP meeskond kõrgeima riskiga, miks, selgitab leht [Miks mod_php kannab suurimat riski](https://phpsos.de/et/php2shell/mod-php-risiko/).

## Kataloogid ja konfiguratsioon TYPO3-s

Struktuur sõltub versioonist ja paigaldusviisist. Uuemad Composeri kaudu paigaldused eraldavad avalikud ja sisemised failid, vanemad klassikalised paigaldused mitte.

| Koht | Sisu | Kontrollpunkt |
|---|---|---|
| `config/system/settings.php` või `typo3conf/LocalConfiguration.php` (vanemad versioonid) | Andmebaasi ligipääs, krüpteerimisvõti, Install Tooli parool | Muutmiskuupäev, väärtused kahtluse korral uuendada |
| `fileadmin/` | Toimetajate failid | PHP failid siia ei kuulu |
| `typo3temp/` | Kirjutatavad ajutised failid | Ootamatud PHP failid |
| `typo3conf/ext/` või `vendor/` | Laiendused (extension) | Tundmatud või muudetud laiendused |
| `var/log/` või `typo3temp/var/log/` | Logid | Enne muudatusi varundada |

Ohutud kontrollid käsurealt, kohandage rajad oma paigaldusele:

```bash
# PHP failid toimetajate ja ajutistes kataloogides
find public/fileadmin public/typo3temp -type f -name "*.php"
# Kas Install Tooli vabastusfail on kuskil olemas?
find . -name "ENABLE_INSTALL_TOOL"
# Aktiivsete laienduste kuvamine (Composeri paigaldus)
vendor/bin/typo3 extension:list
```

> **Näpunäide:**
> Takistage PHP käivitamist kaustades `fileadmin` ja `typo3temp` veebiserveri tasemel. Nii ei ole sinna jäetud veebikest vähemalt otse kutsutav, isegi kui see on serverisse jõudnud.

## Taustaliides, Install Tool ja laiendused

Taustaliides asub aadressil `/typo3`. Kontrollige taustaliidese kasutajaid tundmatute administraatoriõigustega kontode ning endiste töötajate või agentuuride kontode suhtes. TYPO3 tunneb lisaks „System Maintainer“ rolli, millel on jaotises Admin Tools eriti kaugeleulatuvad õigused; see loend peaks olema väga lühike.

Install Toolil on oma parool. Kahtluse korral uuendage see samamoodi nagu krüpteerimisvõti. TYPO3 Extension Repository laiendused ja oma arendused on lisakood; eriti vanemad oma arendused pidurdavad sageli PHP-upgrade'i. Koostage loend, milliseid laiendusi tegelikult vaja on.

## Mida TYPO3 uuendus annab ja mida mitte

TYPO3 uuendus sulgeb tuumiku teadaolevad vead, laienduse uuendus laienduse vead. Ükski neist ei paiga PHP-d, ei taaskäivita protsesse ja ei eemalda veebikesta kaustast `fileadmin`. Ka äsja uuendatud TYPO3 võib seega sisaldada tagaust ajast enne paika. Lisaks võib vanade TYPO3 versioonide puhul uuemale PHP versioonile vahetus eeldada TYPO3 upgrade'i. Siis vajate vaheaja kaitset ja ajakava.

Avalike asutuste jaoks lisandub dokumentatsioon. Pange kirja, millal paik peale pandi ja millal taaskäivitati ning millised kontrollid millise tulemusega tehti. See lihtsustab infoturbe, andmekaitse ja auditi järelepärimisi. Ka teie teenuseosutaja peaks need punktid teile kirjalikult kinnitama.

## Kuidas PHP SOS konkreetselt aitab?

- Teeme kindlaks teie TYPO3 serveri PHP versiooni, töörežiimi ja tagasiportimise seisu ning laseme taaskäivituse kinnitada.
- Varundame logid alates 20.10.2026 ning failide ja andmebaasi praeguse seisu.
- Kontrollime `fileadmin`, `typo3temp`, konfiguratsiooni, laiendusi ja taustaliidese kontosid kõrvalekallete suhtes.
- [Serveri karastamise](https://phpsos.de/et/leistungen/server-haertung/) raames blokeerime PHP käivitamise üleslaadimiskaustades ja dokumenteerime seisu teie infoturbe jaoks.


## Korduma kippuvad küsimused

**Kas pean PHP2Shelli tõttu TYPO3 uuendama?**  
TYPO3 uuendus ei sulge PHP2Shelli, sest turvaauk asub serveri PHP-s. Hoidke TYPO3 siiski ajakohasena. PHP2Shelli jaoks vajate PHP uuendust või kinnitatud tagasiportimist (backport) ja kõigi PHP protsesside taaskäivitust.

**Kust ma näen TYPO3-s PHP versiooni?**  
Administraatorid näevad seda taustaliidese ülemise riba süsteemiinfos ja jaotises Admin Tools keskkonna all. Kas tagasiportimine on sisse toodud, TYPO3 ei näita; seda kinnitab majutaja või serveri administraator.

**Mis on fail ENABLE_INSTALL_TOOL?**  
See lülitab sisse Install Tooli, millega saab keskseid sätteid muuta. Tavatöös ei tohiks see fail olemas olla. Kui see ootamatult leidub, on see põhjus põhjalikumaks kontrolliks.

**Kas TYPO3-ga ametiasutustel on erikohustused?**  
Avaliku sektori asutused lähtuvad sageli BSI IT-Grundschutzist (Saksamaa IT-põhikaitse) ja oma liidumaa nõuetest. Millised kohustused konkreetsel juhul kehtivad, selgitage välja oma infoturbe- ja andmekaitsespetsialistiga.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz (IT-põhikaitse)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)