Lyhyesti: TYPO3:n PHP-haavoittuvuus PHP2Shell ei koske TYPO3:a itseään vaan sen alla olevaa PHP:tä. TYPO3-päivitys ei siksi auta. Tarkistakaa PHP:n tila ja uudelleenkäynnistys, lukitkaa Install Tool ja kontrolloikaa fileadmin, typo3temp ja asennetut laajennukset.
Miksi TYPO3:n ylläpitäjien kannattaa toimia nyt
TYPO3 on Saksassa yleinen kunnilla, korkeakouluilla, järjestöillä ja keskisuurilla yrityksillä. Moni näistä sivustoista on toiminut vuosia vakaasti, ja niihin kosketaan harvoin. Juuri se tekee ne alttiiksi PHP2Shellille: haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 ovat PHP-tulkissa, ja PHP-tiimin mukaan ne sallivat haittakoodin suorittamisen etänä ilman kirjautumista.
BSI (Saksan liittovaltion tietoturvavirasto) on julistanut varoitustason 3 (oranssi) ja suosittelee välitöntä päivitystä. Jos se ei ole mahdollista, verkkopalvelimet pitäisi tilapäisesti ottaa pois verkosta. Virallisen tilanteen yhteenvedon löydätte sivulta Mitä BSI suosittelee PHP2Shellin osalta.
TYPO3:n PHP-haavoittuvuus: PHP-tilan tarkistus hallinnassa
Ylläpitäjät näkevät TYPO3:ssa PHP-version kahdessa paikassa: hallinnan yläpalkin järjestelmätiedoissa ja kohdassa Admin Tools > Ympäristö (uudemmissa versioissa moduulissa System). Siellä TYPO3 tarkistaa myös, vastaako ympäristö vaatimuksia.
Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Monet TYPO3-palvelimet toimivat Linux-jakeluilla, jotka toimittavat korjaukset backporttina; silloin versionumero pysyy samana. Ratkaisevia ovat pakettitila ja ylläpitäjän vahvistus. Mitä PHP-versioita teidän TYPO3-versionne tukee, tarkistatte järjestelmävaatimuksista osoitteessa typo3.org.
Monet TYPO3-asennukset ajavat lisäksi Schedulerin cron-ajona komentorivi-PHP:llä. Tämä CLI-PHP voi olla eri versio kuin web-PHP, ja sen on oltava yhtä lailla korjattu. Tarkistakaa epäselvässä tapauksessa, mikä PHP-polku cron-ajossa on. Usean palvelimen ympäristöissä tämä koskee jokaista palvelinta erikseen, myös toimitus- ja esikatselupalvelimia, jotka usein unohdetaan.
Vanhoilla viranomaispalvelimilla PHP toimii usein vielä Apache-moduulina. PHP-tiimi arvioi tämän ajotavan suurimmaksi riskiksi; miksi, selittää sivu Miksi mod_php kantaa suurimman riskin.
TYPO3:n hakemistot ja asetukset
Rakenne riippuu versiosta ja asennustavasta. Uudemmat Composer-asennukset erottavat julkiset ja sisäiset tiedostot, vanhemmat klassiset asennukset eivät.
| Paikka | Sisältö | Tarkistuskohde |
|---|---|---|
config/system/settings.php tai typo3conf/LocalConfiguration.php (vanhemmat versiot) |
Tietokantatunnukset, salausavain, Install Toolin salasana | Muutospäivä, arvot uusittava epäilyn jälkeen |
fileadmin/ |
Toimittajien tiedostot | PHP-tiedostot eivät kuulu tänne |
typo3temp/ |
kirjoitettavat väliaikaistiedostot | odottamattomat PHP-tiedostot |
typo3conf/ext/ tai vendor/ |
Laajennukset | tuntemattomat tai muutetut laajennukset |
var/log/ tai typo3temp/var/log/ |
Lokit | talteen ennen muutoksia |
Vaarattomat tarkistukset komentorivillä; mukauttakaa polut asennukseenne:
# PHP-tiedostot toimittajien ja väliaikaishakemistoissa
find public/fileadmin public/typo3temp -type f -name "*.php"
# Onko Install Toolin avaustiedosto jäänyt paikalleen?
find . -name "ENABLE_INSTALL_TOOL"
# Näytetään aktiiviset laajennukset (Composer-asennus)
vendor/bin/typo3 extension:list
Estäkää PHP:n suoritus kansioissa fileadmin ja typo3temp verkkopalvelimen tasolla. Silloin sinne tallennettua web shelliä ei ainakaan voi kutsua suoraan, vaikka se olisi päässyt palvelimelle.
Hallinta, Install Tool ja laajennukset
Hallinta on osoitteessa /typo3. Tarkistakaa hallintakäyttäjät tuntemattomien ylläpitäjäoikeuksilla varustettujen tilien sekä entisten työntekijöiden tai toimistojen tilien varalta. TYPO3 tuntee lisäksi ”System Maintainer” -roolin, jolla on erityisen laajat oikeudet Admin Tools -alueella; tämän luettelon pitäisi olla hyvin lyhyt.
Install Toolilla on oma salasanansa. Epäilyn jälkeen uusikaa se samoin kuin salausavain. TYPO3 Extension Repositoryn laajennukset ja omat kehitykset ovat lisäkoodia; erityisesti vanhemmat omat kehitykset hidastavat usein PHP-päivitystä. Selvittäkää, mitä laajennuksia todella tarvitaan.
Mihin TYPO3-päivitys pystyy ja mihin ei
TYPO3-päivitys sulkee ytimen tunnetut virheet, laajennuspäivitys laajennuksen virheet. Kumpikaan ei korjaa PHP:tä, käynnistä prosesseja uudelleen eikä poista web shelliä kansiosta fileadmin. Myös juuri päivitetty TYPO3 voi siis sisältää takaoven ajalta ennen korjausta. Lisäksi PHP-version vaihto voi vanhoilla TYPO3-versioilla edellyttää TYPO3-päivitystä. Silloin tarvitaan väliaikainen suojaus ja aikataulu.
Julkisilla toimijoilla dokumentointi tulee lisäksi. Kirjatkaa ylös, milloin korjaus asennettiin ja milloin käynnistettiin uudelleen sekä mitä tarkistuksia tehtiin ja millä tuloksella. Se helpottaa tietoturvan, tietosuojan ja tarkastuksen kysymyksiin vastaamista. Myös palveluntarjoajanne pitäisi vahvistaa nämä kohdat teille kirjallisesti.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme TYPO3-palvelimenne PHP-version, ajotavan ja backport-tilan ja varmennamme uudelleenkäynnistyksen.
- Varmuuskopioimme lokit 20.10.2026 alkaen sekä tiedostojen ja tietokannan nykytilan.
- Tarkistamme
fileadmin-kansion,typo3temp-kansion, asetukset, laajennukset ja hallintatilit poikkeamien varalta. - Palvelimen koventamisen yhteydessä estämme PHP:n suorituksen latauskansioissa ja dokumentoimme tilan tietoturvaanne varten.
Usein kysytyt kysymykset
Pitääkö minun päivittää TYPO3 PHP2Shellin takia?
TYPO3-päivitys ei sulje PHP2Shelliä, koska aukko on palvelimen PHP:ssä. Pitäkää TYPO3 silti ajan tasalla. PHP2Shellia vastaan tarvitsette PHP-päivityksen tai vahvistetun backportin ja kaikkien PHP-prosessien uudelleenkäynnistyksen.
Mistä näen TYPO3:ssa PHP-version?
Ylläpitäjät näkevät sen hallinnan yläpalkin järjestelmätiedoista ja Admin Tools -osiossa kohdassa Ympäristö. Onko backport asennettu, TYPO3 ei näytä; sen vahvistaa hosting-palveluntarjoaja tai palvelimen ylläpitäjä.
Mikä tiedosto ENABLE_INSTALL_TOOL on?
Se avaa Install Toolin, jolla voi muuttaa keskeisiä asetuksia. Normaalikäytössä tiedoston ei pitäisi olla olemassa. Jos se löytyy odottamatta, se on syy tarkempaan tarkistukseen.
Onko TYPO3:a käyttävillä viranomaisilla erityisiä velvoitteita?
Julkiset toimijat noudattavat usein BSI:n IT-perussuojausta (IT-Grundschutz) ja maansa ohjeita. Mitkä velvoitteet koskevat yksittäistapausta, selvitätte tietoturva- ja tietosuojavastaavanne kanssa.