Röviden: A TYPO3 PHP biztonsági rése, a PHP2Shell, nem magát a TYPO3-at érinti, hanem az alatta lévő PHP-t. Egy TYPO3-frissítés ezért nem segít. Ellenőrizze a PHP-állapotot és az újraindítást, zárja le az Install Toolt, és nézze át a fileadmin és a typo3temp mappát, valamint a telepített bővítményeket.
Miért kell most cselekedniük a TYPO3-üzemeltetőknek
A TYPO3 Németországban elterjedt az önkormányzatoknál, főiskoláknál, szövetségeknél és a közép-vállalkozásoknál. Sok ilyen weboldal évek óta stabilan fut, és ritkán nyúlnak hozzá. Éppen ez teszi őket sebezhetővé a PHP2Shell esetében: a CVE-2026-109618 és a CVE-2026-109619 rések a PHP-értelmezőben vannak, és a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül.
A BSI (a német Szövetségi Információbiztonsági Hivatal) a 3. riasztási szintet (narancs) hirdette meg, és azonnali frissítést javasol. Ha ez nem lehetséges, a webszervereket átmenetileg le kell választani a hálózatról. A hivatalos helyzet összefoglalóját a Mit javasol a BSI a PHP2Shellről oldalon találja.
TYPO3 PHP biztonsági rés: a PHP-állapot ellenőrzése a backendben
Az adminisztrátorok a TYPO3-ban két helyen látják a PHP-verziót: a backend felső sávjának rendszerinformációjában és az Admin Tools > Környezet alatt (az újabb verziókban a Rendszer modulban). Ott a TYPO3 azt is ellenőrzi, hogy a környezet megfelel-e a követelményeknek.
A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Sok TYPO3-szerver olyan Linux-disztribúciókon fut, amelyek a javításokat backportként szállítják; ilyenkor a verziószám ugyanaz marad. A csomagállapot és az üzemeltető megerősítése a döntő. Hogy a TYPO3-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a typo3.org oldalon ellenőrizheti.
Sok TYPO3-telepítés ezenfelül a Schedulert egy cron-feladattal, a parancssori PHP-val futtatja. Ez a CLI-s PHP más verzió lehet, mint a webes PHP, és ugyanúgy javítottnak kell lennie. Kétség esetén ellenőrizze, melyik PHP-útvonal áll a cron-feladatban. Többszerveres felállásnál ez minden egyes szerverre érvényes, a gyakran elfeledett szerkesztői és előnézeti szerverekre is.
A régebbi hatósági szervereken a PHP gyakran még Apache-modulként fut. Ezt az üzemmódot a PHP-csapat a legmagasabb kockázatúnak minősíti, hogy miért, azt a Miért viseli a mod_php a legnagyobb kockázatot oldal magyarázza el.
Könyvtárak és konfiguráció a TYPO3-ban
A szerkezet a verziótól és a telepítés módjától függ. A Composeren keresztüli újabb telepítések szétválasztják a nyilvános és a belső fájlokat, a régebbi klasszikus telepítések nem.
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
config/system/settings.php, illetve typo3conf/LocalConfiguration.php (régebbi verziók) |
adatbázis-hozzáférés, titkosítási kulcs, az Install Tool jelszava | módosítás dátuma, gyanú esetén az értékek megújítása |
fileadmin/ |
a szerkesztők fájljai | PHP-fájlok ide nem valók |
typo3temp/ |
írható ideiglenes fájlok | váratlan PHP-fájlok |
typo3conf/ext/, illetve vendor/ |
bővítmények | ismeretlen vagy módosított bővítmények |
var/log/, illetve typo3temp/var/log/ |
naplók | változtatások előtt mentse |
Veszélytelen ellenőrzések a parancssorban, az útvonalakat igazítsa a telepítéséhez:
# PHP-fájlok a szerkesztői és ideiglenes könyvtárakban
find public/fileadmin public/typo3temp -type f -name "*.php"
# Hever-e valahol az Install Tool engedélyező fájlja?
find . -name "ENABLE_INSTALL_TOOL"
# Az aktív bővítmények megjelenítése (Composeres telepítés)
vendor/bin/typo3 extension:list
Akadályozza meg a PHP futtatását a fileadmin és a typo3temp mappában webszerver-szinten. Így az ott elhelyezett webshell legalább közvetlenül nem hívható meg, még ha eljutott is a szerverre.
Backend, Install Tool és bővítmények
A backend a /typo3 alatt található. Ellenőrizze a backend-felhasználókat ismeretlen, adminisztrátori jogú fiókok, valamint a volt munkatársak vagy ügynökségek fiókjai szempontjából. A TYPO3 ezenfelül ismeri a „System Maintainer” szerepet, különösen messzemenő jogokkal az Admin Tools területén; ennek a listának nagyon rövidnek kell lennie.
Az Install Toolnak saját jelszava van. Gyanú esetén újítsa meg, ugyanúgy, mint a titkosítási kulcsot. A TYPO3 Extension Repositoryból származó bővítmények és az egyedi fejlesztések további kódot jelentenek; éppen a régebbi egyedi fejlesztések gyakran fékezik a PHP-frissítést. Mérje fel, mely bővítményekre van valóban szükség.
Mit ér egy TYPO3-frissítés, és mit nem
Egy TYPO3-frissítés lezárja a mag ismert hibáit, egy bővítményfrissítés a bővítmény hibáit. Egyik sem javítja a PHP-t, nem indít újra folyamatokat, és nem távolít el webshellt a fileadmin mappából. Egy frissen frissített TYPO3 is tartalmazhat tehát a javítás előtti időkből származó hátsó ajtót. Ehhez jön, hogy a régi TYPO3-állapotoknál az újabb PHP-verzióra váltás TYPO3-frissítést is feltételezhet. Ilyenkor átmeneti védelemre és ütemtervre van szüksége.
A közfeladatot ellátó szerveknél a dokumentáció is hozzátartozik. Rögzítse, mikor lett bejuttatva a javítás és mikor történt az újraindítás, milyen ellenőrzések futottak milyen eredménnyel. Ez megkönnyíti az információbiztonság, az adatvédelem és a számvevőszék kérdéseit. A szolgáltatója is erősítse meg Önnek ezeket a pontokat írásban.
Hogyan segít konkrétan a PHP SOS?
- Megállapítjuk a TYPO3-szervere PHP-verzióját, üzemmódját és backport-állapotát, és megerősíttetjük az újraindítást.
- Mentjük a naplókat 2026. 10. 20-tól, valamint a fájlok és az adatbázis aktuális állapotát.
- Ellenőrizzük a
fileadminés atypo3tempmappát, a konfigurációt, a bővítményeket és a backend-fiókokat rendellenességek szempontjából. - A szerver-megerősítés keretében letiltjuk a PHP futtatását a feltöltési mappákban, és dokumentáljuk az állapotot az információbiztonsága számára.
Gyakori kérdések
Frissítenem kell a TYPO3-at a PHP2Shell miatt?
Egy TYPO3-frissítés nem zárja le a PHP2Shellt, mert a rés a szerver PHP-jában van. A TYPO3-at ettől függetlenül tartsa naprakészen. A PHP2Shell ellen PHP-frissítésre vagy megerősített backportra, és az összes PHP-folyamat újraindítására van szükség.
Hol látom a TYPO3-ban a PHP-verziót?
Az adminisztrátorok a backend felső sávjának rendszerinformációjában és az Admin Tools alatt a Környezet területen látják. Hogy be van-e juttatva backport, azt a TYPO3 nem mutatja; ezt a tárhelyszolgáltató vagy a szerver-rendszergazda erősíti meg.
Mi az az ENABLE_INSTALL_TOOL fájl?
Ez engedélyezi az Install Toolt, amellyel központi beállítások módosíthatók. Normál üzemben a fájlnak nem szabad léteznie. Ha váratlanul megtalálják, ez alaposabb ellenőrzés oka.
Vannak különleges kötelezettségek a TYPO3-at használó hatóságokra?
A közfeladatot ellátó szervek gyakran a BSI IT-Grundschutz előírásaihoz és tartományuk iránymutatásaihoz igazodnak. Hogy az egyedi esetben milyen kötelezettségek érvényesek, azt az információbiztonsági és adatvédelmi felelősével tisztázza.