In breve: la vulnerabilità PHP2Shell non riguarda TYPO3 stesso, ma il PHP sottostante. Un aggiornamento di TYPO3 quindi non serve. Verifichi stato di PHP e riavvio, blocchi l'Install Tool e controlli fileadmin, typo3temp e le estensioni installate.
Perché i gestori di TYPO3 dovrebbero agire ora
In Germania TYPO3 è diffuso presso comuni, università, associazioni e PMI. Molti di questi siti girano stabilmente da anni e vengono toccati solo di rado. Proprio questo li rende vulnerabili a PHP2Shell: le vulnerabilità CVE-2026-109618 e CVE-2026-109619 si trovano nell'interprete PHP e consentono, secondo il team PHP, di eseguire codice dannoso da remoto senza autenticazione.
Il BSI (Ufficio federale tedesco per la sicurezza informatica) ha dichiarato il livello di allerta 3 (arancione) e raccomanda l'aggiornamento immediato. Se non è possibile, i web server devono essere temporaneamente scollegati dalla rete. Una sintesi della situazione ufficiale si trova in Che cosa raccomanda il BSI su PHP2Shell.
Vulnerabilità PHP di TYPO3: verificare lo stato di PHP nel backend
Gli amministratori vedono la versione di PHP in TYPO3 in due punti: nelle informazioni di sistema nella barra superiore del backend e in Admin Tools > Environment (nelle versioni più recenti nel modulo System). Qui TYPO3 verifica anche se l'ambiente soddisfa i requisiti.
Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Molti server TYPO3 girano su distribuzioni Linux che distribuiscono le correzioni come backport; in tal caso il numero di versione resta lo stesso. Fanno fede lo stato dei pacchetti e la conferma del gestore. Quali versioni di PHP supporta la Sua versione di TYPO3, lo verifichi nei requisiti di sistema su typo3.org.
Molte installazioni TYPO3 eseguono inoltre lo Scheduler tramite un cronjob con il PHP a riga di comando. Questo PHP CLI può essere una versione diversa dal PHP web e deve essere aggiornato altrettanto. In caso di dubbio verifichi quale percorso PHP sia indicato nel cronjob. Nelle configurazioni multiserver vale per ogni singolo server, anche per i server di redazione e di anteprima, che spesso vengono dimenticati.
Sui vecchi server degli enti pubblici PHP gira spesso ancora come modulo Apache. Il team PHP classifica questa modalità di esecuzione come rischio più alto; il perché è spiegato in Perché mod_php comporta il rischio più alto.
Directory e configurazione in TYPO3
La struttura dipende dalla versione e dal tipo di installazione. Le installazioni più recenti tramite Composer separano i file pubblici da quelli interni, le vecchie installazioni classiche no.
| Posizione | Contenuto | Punto da controllare |
|---|---|---|
config/system/settings.php oppure typo3conf/LocalConfiguration.php (versioni più vecchie) |
Accesso al database, chiave di cifratura, password dell'Install Tool | Data di modifica, rinnovare i valori in caso di sospetto |
fileadmin/ |
File dei redattori | Qui non devono esserci file PHP |
typo3temp/ |
file temporanei scrivibili | file PHP inattesi |
typo3conf/ext/ oppure vendor/ |
Estensioni | estensioni sconosciute o modificate |
var/log/ oppure typo3temp/var/log/ |
Log | salvare prima delle modifiche |
Controlli non invasivi da riga di comando, adatti i percorsi alla Sua installazione:
# File PHP nelle directory dei redattori e temporanee
find public/fileadmin public/typo3temp -type f -name "*.php"
# C'è in giro un file di sblocco per l'Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Mostrare le estensioni attive (installazione con Composer)
vendor/bin/typo3 extension:list
Impedisca l'esecuzione di PHP in fileadmin e typo3temp a livello di web server. In questo modo una web shell depositata lì non sarà almeno richiamabile direttamente, anche se è arrivata sul server.
Backend, Install Tool ed estensioni
Il backend si trova in /typo3. Controlli gli utenti del backend alla ricerca di account sconosciuti con diritti di amministratore e di account di ex collaboratori o agenzie. TYPO3 conosce inoltre i «System Maintainer» con diritti particolarmente estesi nell'area Admin Tools; questo elenco dovrebbe essere molto breve.
L'Install Tool ha una password propria. In caso di sospetto la rinnovi, così come la chiave di cifratura. Le estensioni del TYPO3 Extension Repository e gli sviluppi su misura sono codice aggiuntivo; proprio i vecchi sviluppi su misura rallentano spesso un aggiornamento di PHP. Rilevi quali estensioni servano davvero.
Che cosa offre un aggiornamento di TYPO3 e che cosa no
Un aggiornamento di TYPO3 chiude errori noti nel core, un aggiornamento di un'estensione errori nell'estensione. Nessuno dei due applica patch a PHP, riavvia processi o rimuove una web shell da fileadmin. Anche un TYPO3 appena aggiornato può quindi contenere una backdoor risalente a prima della patch. A ciò si aggiunge che, con versioni TYPO3 vecchie, il passaggio a una versione di PHP più recente può presupporre un upgrade di TYPO3. In tal caso servono una protezione transitoria e un calendario.
Per gli enti pubblici si aggiunge la documentazione. Annoti quando la patch è stata applicata e quando è avvenuto il riavvio, e quali controlli siano stati eseguiti con quale esito. Questo facilita le richieste di sicurezza delle informazioni, protezione dei dati e revisione contabile. Anche il Suo fornitore di servizi dovrebbe confermarLe questi punti per iscritto.
In che modo PHP SOS aiuta concretamente?
- Accertiamo versione di PHP, modalità di esecuzione e stato dei backport del Suo server TYPO3 e ci facciamo confermare il riavvio.
- Mettiamo al sicuro i log a partire dal 20/10/2026 e lo stato attuale di file e database.
- Controlliamo
fileadmin,typo3temp, configurazione, estensioni e account del backend alla ricerca di anomalie. - Nell'ambito dell'hardening del server blocchiamo l'esecuzione di PHP nelle cartelle di upload e documentiamo lo stato per la Sua sicurezza delle informazioni.
Domande frequenti
Devo aggiornare TYPO3 a causa di PHP2Shell?
Un aggiornamento di TYPO3 non chiude PHP2Shell, perché la vulnerabilità è nel PHP del server. Tenga comunque TYPO3 aggiornato. Per PHP2Shell servono un aggiornamento di PHP o un backport confermato e il riavvio di tutti i processi PHP.
Dove vedo la versione di PHP in TYPO3?
Gli amministratori la vedono nelle informazioni di sistema nella barra superiore del backend e nell'area Admin Tools alla voce Environment. TYPO3 non mostra se sia stato applicato un backport; lo conferma l'hoster o l'amministratore del server.
Che cos'è il file ENABLE_INSTALL_TOOL?
Sblocca l'Install Tool, con cui si possono modificare impostazioni centrali. In esercizio normale il file non dovrebbe esistere. Se lo trova inaspettatamente, è un motivo per un controllo più accurato.
Per gli enti pubblici con TYPO3 valgono obblighi particolari?
Gli enti pubblici si orientano spesso all'IT-Grundschutz del BSI (deutsche Norm, in italiano: protezione di base IT) e alle disposizioni del proprio Land. Quali obblighi valgano nel singolo caso, lo chiarisca con il Suo responsabile della sicurezza delle informazioni e della protezione dei dati.