En bref : la faille de sécurité PHP TYPO3 PHP2Shell ne concerne pas TYPO3 lui-même, mais le PHP situé en dessous. Une mise à jour de TYPO3 n'aide donc pas. Vérifiez l'état de PHP et le redémarrage, verrouillez l'Install Tool et contrôlez fileadmin, typo3temp et les extensions installées.
Pourquoi les exploitants TYPO3 devraient agir maintenant
TYPO3 est répandu en Allemagne auprès des communes, des hautes écoles, des associations et des PME. Beaucoup de ces sites fonctionnent de façon stable depuis des années et ne sont que rarement touchés. C'est précisément ce qui les rend vulnérables à PHP2Shell : les failles CVE-2026-109618 et CVE-2026-109619 se situent dans l'interpréteur PHP et permettent, selon l'équipe PHP, d'exécuter du code malveillant à distance sans authentification.
Le BSI a déclaré le niveau d'alerte 3 (orange) et recommande une mise à jour immédiate. Si elle n'est pas possible, les serveurs web doivent être temporairement déconnectés du réseau. Vous trouverez un résumé de la situation officielle sous Ce que le BSI recommande pour PHP2Shell.
Faille de sécurité PHP TYPO3 : vérifier l'état de PHP dans le back-end
Les administrateurs voient la version de PHP dans TYPO3 à deux endroits : dans les informations système de la barre supérieure du back-end et sous Admin Tools > Environnement (dans les versions récentes, dans le module Système). TYPO3 y vérifie aussi si l'environnement correspond à la configuration requise.
Les versions corrigées en amont sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. De nombreux serveurs TYPO3 tournent sur des distributions Linux qui livrent les correctifs sous forme de backport ; le numéro de version reste alors identique. Ce qui compte, ce sont l'état des paquets et la confirmation de l'exploitant. Les versions de PHP prises en charge par votre version de TYPO3 se vérifient dans la configuration requise sur typo3.org.
De nombreuses installations TYPO3 exécutent en outre le Scheduler via une tâche cron avec le PHP en ligne de commande. Ce PHP CLI peut être d'une autre version que le PHP web et doit être corrigé de la même façon. En cas de doute, vérifiez quel chemin PHP figure dans la tâche cron. Dans les configurations multiserveurs, cela vaut pour chaque serveur, y compris les serveurs de rédaction et de prévisualisation, souvent oubliés.
Sur d'anciens serveurs d'administrations, PHP tourne souvent encore comme module Apache. L'équipe PHP classe ce mode d'exploitation comme le risque le plus élevé ; pourquoi, c'est expliqué dans Pourquoi mod_php présente le risque le plus élevé.
Dossiers et configuration dans TYPO3
La structure dépend de la version et du type d'installation. Les installations récentes via Composer séparent fichiers publics et internes, les anciennes installations classiques non.
| Emplacement | Contenu | Point de contrôle |
|---|---|---|
config/system/settings.php ou typo3conf/LocalConfiguration.php (versions anciennes) |
Accès à la base de données, clé de chiffrement, mot de passe de l'Install Tool | Date de modification, renouveler les valeurs en cas de soupçon |
fileadmin/ |
Fichiers des rédacteurs | Les fichiers PHP n'ont rien à faire ici |
typo3temp/ |
fichiers temporaires inscriptibles | fichiers PHP inattendus |
typo3conf/ext/ ou vendor/ |
Extensions | extensions inconnues ou modifiées |
var/log/ ou typo3temp/var/log/ |
Journaux | sauvegarder avant toute modification |
Contrôles sans danger en ligne de commande, adaptez les chemins à votre installation :
# Fichiers PHP dans les dossiers des rédacteurs et temporaires
find public/fileadmin public/typo3temp -type f -name "*.php"
# Un fichier d'activation de l'Install Tool traîne-t-il quelque part ?
find . -name "ENABLE_INSTALL_TOOL"
# Afficher les extensions actives (installation Composer)
vendor/bin/typo3 extension:list
Empêchez l'exécution de PHP dans fileadmin et typo3temp au niveau du serveur web. Un webshell déposé là ne sera ainsi pas directement appelable, même s'il a réussi à atteindre le serveur.
Back-end, Install Tool et extensions
Le back-end se trouve sous /typo3. Vérifiez les utilisateurs du back-end à la recherche de comptes inconnus avec droits d'administrateur et de comptes d'anciens collaborateurs ou d'agences. TYPO3 connaît en outre les « System Maintainers », dotés de droits particulièrement étendus dans la section Admin Tools ; cette liste devrait être très courte.
L'Install Tool a son propre mot de passe. En cas de soupçon, renouvelez-le, de même que la clé de chiffrement. Les extensions du TYPO3 Extension Repository et les développements spécifiques sont du code supplémentaire ; surtout les anciens développements spécifiques freinent souvent une mise à niveau de PHP. Recensez les extensions réellement nécessaires.
Ce qu'apporte une mise à jour de TYPO3 et ce qu'elle n'apporte pas
Une mise à jour de TYPO3 comble des défauts connus du cœur, une mise à jour d'extension des défauts de l'extension. Ni l'une ni l'autre ne corrige PHP, ne redémarre de processus ou ne supprime un webshell de fileadmin. Même un TYPO3 fraîchement mis à jour peut donc contenir une porte dérobée datant d'avant le correctif. S'y ajoute qu'avec d'anciennes versions de TYPO3, le passage à une version plus récente de PHP peut exiger une mise à niveau de TYPO3. Il vous faut alors une protection transitoire et un calendrier.
Pour les organismes publics s'ajoute la documentation. Consignez quand le correctif a été appliqué et quand le redémarrage a eu lieu, ainsi que les contrôles effectués et leur résultat. Cela facilite les questions de la sécurité de l'information, de la protection des données et du contrôle des comptes. Votre prestataire devrait lui aussi vous confirmer ces points par écrit.
Comment PHP SOS aide-t-il concrètement ?
- Nous établissons la version de PHP, le mode d'exploitation et l'état des backports de votre serveur TYPO3 et faisons confirmer le redémarrage.
- Nous sauvegardons les journaux à partir du 20/10/2026 et l'état actuel des fichiers et de la base de données.
- Nous contrôlons
fileadmin,typo3temp, la configuration, les extensions et les comptes du back-end à la recherche d'anomalies. - Dans le cadre du durcissement du serveur, nous bloquons l'exécution de PHP dans les dossiers d'upload et documentons l'état pour votre sécurité de l'information.
Questions fréquentes
Dois-je mettre à jour TYPO3 à cause de PHP2Shell ?
Une mise à jour de TYPO3 ne comble pas PHP2Shell, car la faille se situe dans le PHP du serveur. Gardez néanmoins TYPO3 à jour. Pour PHP2Shell, il vous faut une mise à jour de PHP ou un backport confirmé et le redémarrage de tous les processus PHP.
Où vois-je la version de PHP dans TYPO3 ?
Les administrateurs la voient dans les informations système de la barre supérieure du back-end et dans la section Admin Tools sous Environnement. TYPO3 n'indique pas si un backport a été appliqué ; l'hébergeur ou l'administrateur du serveur le confirme.
Qu'est-ce que le fichier ENABLE_INSTALL_TOOL ?
Il active l'Install Tool, avec lequel on peut modifier des réglages centraux. En fonctionnement normal, le fichier ne devrait pas exister. S'il apparaît de façon inattendue, c'est une raison d'examiner de plus près.
Les administrations utilisant TYPO3 ont-elles des obligations particulières ?
Les organismes publics s'appuient souvent sur l'IT-Grundschutz du BSI (office fédéral allemand de la sécurité des systèmes d'information) et sur les exigences de leur Land. Les obligations applicables dans un cas précis se clarifient avec votre responsable de la sécurité de l'information et votre délégué à la protection des données.