# TYPO3 PHP ranjivost PHP2Shell: kako ispravno zaštititi web-stranice

> TYPO3 i PHP2Shell: provjerite stanje PHP-a u backendu, pregledajte fileadmin i typo3temp, zaključajte Install Tool i pratite instalirana proširenja.

Izvor: https://phpsos.de/hr/plattformen/typo3/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** TYPO3 PHP ranjivost PHP2Shell ne pogađa sam TYPO3, nego PHP ispod njega. TYPO3 ažuriranje stoga ne pomaže. Provjerite stanje PHP-a i ponovno pokretanje, zaključajte Install Tool te pregledajte `fileadmin`, `typo3temp` i instalirana proširenja.

## Zašto bi operateri TYPO3-a sada trebali djelovati

TYPO3 je u Njemačkoj raširen kod općina, visokih učilišta, udruga i u srednjim poduzećima. Mnoge od tih web-stranica godinama stabilno rade i rijetko ih se dira. Upravo ih to čini ranjivima kod PHP2Shella: ranjivosti CVE-2026-109618 i CVE-2026-109619 nalaze se u PHP interpreteru i prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave.

BSI (njemački Savezni ured za informacijsku sigurnost) proglasio je razinu upozorenja 3 (narančasta) i preporučuje hitno ažuriranje. Ako to nije moguće, web-poslužitelje treba privremeno isključiti s mreže. Sažetak službene situacije naći ćete na stranici [Što BSI preporučuje za PHP2Shell](https://phpsos.de/hr/compliance/bsi-empfehlungen/).

## TYPO3 PHP ranjivost: provjera stanja PHP-a u backendu

Administratori verziju PHP-a u TYPO3-u vide na dva mjesta: u informacijama o sustavu u gornjoj traci backenda i pod **Admin Tools > Okruženje** (u novijim verzijama u modulu System). Tamo TYPO3 provjerava i odgovara li okruženje zahtjevima.

Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Mnogi TYPO3 poslužitelji rade na Linux distribucijama koje ispravke isporučuju kao backport; tada broj verzije ostaje isti. Presudni su stanje paketa i potvrda operatera. Koje PHP verzije podržava Vaša verzija TYPO3-a, provjerite prema sistemskim zahtjevima na typo3.org.

Mnoge TYPO3 instalacije uz to izvršavaju Scheduler putem cron zadatka s PHP-om naredbenog retka. Taj CLI PHP može biti druga verzija od web PHP-a i također mora biti zakrpan. U slučaju sumnje provjerite koji je PHP put naveden u cron zadatku. Kod postava s više poslužitelja to vrijedi za svaki pojedini poslužitelj, i za uredničke i pregledne poslužitelje koji se često zaborave.

Na starijim poslužiteljima tijela vlasti PHP često još radi kao Apache modul. Taj način rada PHP tim ocjenjuje najvišim rizikom, a zašto, objašnjava članak [Zašto mod_php nosi najviši rizik](https://phpsos.de/hr/php2shell/mod-php-risiko/).

## Direktoriji i konfiguracija u TYPO3-u

Struktura ovisi o verziji i vrsti instalacije. Novije instalacije putem Composera odvajaju javne i interne datoteke, starije klasične instalacije ne.

| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
| `config/system/settings.php` odnosno `typo3conf/LocalConfiguration.php` (starije verzije) | Pristup bazi podataka, ključ za šifriranje, lozinka Install Toola | Datum izmjene, nakon sumnje obnoviti vrijednosti |
| `fileadmin/` | Datoteke urednika | PHP datoteke ovdje ne pripadaju |
| `typo3temp/` | Privremene datoteke u koje se može pisati | Neočekivane PHP datoteke |
| `typo3conf/ext/` odnosno `vendor/` | Proširenja | Nepoznata ili izmijenjena proširenja |
| `var/log/` odnosno `typo3temp/var/log/` | Zapisnici | Osigurati prije promjena |

Neopasne provjere u naredbenom retku, putove prilagodite svojoj instalaciji:

```bash
# PHP datoteke u direktorijima urednika i privremenim direktorijima
find public/fileadmin public/typo3temp -type f -name "*.php"
# Postoji li negdje datoteka za otključavanje Install Toola?
find . -name "ENABLE_INSTALL_TOOL"
# Prikaz aktivnih proširenja (Composer instalacija)
vendor/bin/typo3 extension:list
```

> **Savjet:**
> Na razini web-poslužitelja onemogućite izvršavanje PHP-a u `fileadmin` i `typo3temp`. Tako se webshell odložen tamo barem ne može izravno pozvati, čak i ako je dospio na poslužitelj.

## Backend, Install Tool i proširenja

Backend se nalazi na `/typo3`. Provjerite backend korisnike na nepoznate račune s administratorskim pravima i na račune bivših zaposlenika ili agencija. TYPO3 uz to poznaje „System Maintainere“ s osobito dalekosežnim pravima u području Admin Tools; taj bi popis trebao biti vrlo kratak.

Install Tool ima vlastitu lozinku. Nakon sumnje obnovite je jednako kao i ključ za šifriranje. Proširenja iz TYPO3 Extension Repositoryja i vlastiti razvoji dodatni su kôd; upravo stariji vlastiti razvoji često usporavaju nadogradnju PHP-a. Utvrdite koja su proširenja doista potrebna.

## Što TYPO3 ažuriranje postiže, a što ne

TYPO3 ažuriranje zatvara poznate pogreške u jezgri, a ažuriranje proširenja pogreške u proširenju. Ništa od toga ne zakrpava PHP, ne pokreće procese ponovno i ne uklanja webshell iz `fileadmin`. Čak i svježe ažuriran TYPO3 stoga može sadržavati stražnja vrata iz vremena prije zakrpe. K tome, prelazak na noviju verziju PHP-a kod starih TYPO3 stanja može zahtijevati TYPO3 nadogradnju. Tada Vam treba privremena zaštita i vremenski plan.

Za javna tijela dolazi i dokumentacija. Zabilježite kada je zakrpa ugrađena i kada je obavljeno ponovno pokretanje te koje su provjere provedene s kojim rezultatom. To olakšava upite informacijske sigurnosti, zaštite podataka i revizije. I Vaš pružatelj usluga trebao bi Vam te točke potvrditi pisano.

## Kako PHP SOS konkretno pomaže?

- Utvrđujemo verziju PHP-a, način rada i stanje backporta Vašeg TYPO3 poslužitelja te dajemo potvrditi ponovno pokretanje.
- Osiguravamo logove od 20.10.2026. i trenutačno stanje datoteka i baze podataka.
- Provjeravamo `fileadmin`, `typo3temp`, konfiguraciju, proširenja i backend račune na nepravilnosti.
- U okviru [ojačavanja poslužitelja](https://phpsos.de/hr/leistungen/server-haertung/) zabranjujemo izvršavanje PHP-a u direktorijima uploada i dokumentiramo stanje za Vašu informacijsku sigurnost.


## Česta pitanja

**Moram li zbog PHP2Shella ažurirati TYPO3?**  
TYPO3 ažuriranje ne zatvara PHP2Shell jer je ranjivost u PHP-u poslužitelja. TYPO3 ipak održavajte aktualnim. Za PHP2Shell trebate PHP ažuriranje ili potvrđeni backport i ponovno pokretanje svih PHP procesa.

**Gdje u TYPO3 vidim verziju PHP-a?**  
Administratori je vide u informacijama o sustavu u gornjoj traci backenda i u području Admin Tools pod Okruženje. Je li ugrađen backport, TYPO3 ne prikazuje; to potvrđuje pružatelj hostinga ili administrator poslužitelja.

**Što je datoteka ENABLE_INSTALL_TOOL?**  
Ona omogućuje Install Tool, kojim se mijenjaju središnje postavke. U normalnom radu datoteka ne bi trebala postojati. Ako se neočekivano pronađe, to je razlog za detaljniju provjeru.

**Vrijede li za tijela vlasti s TYPO3-om posebne obveze?**  
Javna tijela često se orijentiraju prema BSI IT-Grundschutzu i propisima svoje savezne zemlje. Koje obveze vrijede u pojedinom slučaju, razjasnite sa svojim službenikom za informacijsku sigurnost i zaštitu podataka.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI](https://www.bsi.bund.de/)