Trumpai: TYPO3 PHP saugumo spraga PHP2Shell liečia ne patį TYPO3, o po juo esantį PHP. Todėl TYPO3 atnaujinimas nepadeda. Patikrinkite PHP būseną ir paleidimą iš naujo, užrakinkite Install Tool ir patikrinkite fileadmin, typo3temp bei įdiegtus plėtinius (Extensions).
Kodėl TYPO3 valdytojai turėtų veikti dabar
TYPO3 Vokietijoje paplitęs savivaldybėse, aukštosiose mokyklose, asociacijose ir vidutiniame versle. Daug šių svetainių daug metų veikia stabiliai ir tik retai liečiamos. Būtent tai daro jas pažeidžiamas PHP2Shell atveju: spragos CVE-2026-109618 ir CVE-2026-109619 yra PHP interpretatoriuje ir, PHP komandos teigimu, leidžia vykdyti kenkėjišką kodą nuotoliniu būdu be prisijungimo.
BSI (Vokietijos federalinė informacijos saugumo tarnyba) paskelbė 3 perspėjimo lygį (oranžinį) ir rekomenduoja nedelsiant atnaujinti. Jei tai neįmanoma, žiniatinklio serveriai turi būti laikinai atjungti nuo tinklo. Oficialios padėties santrauką rasite puslapyje Ką BSI rekomenduoja dėl PHP2Shell.
TYPO3 PHP saugumo spraga: patikrinkite PHP būseną administravime
Administratoriai PHP versiją TYPO3 mato dviejose vietose: sistemos informacijoje viršutinėje administravimo juostoje ir skiltyje Admin Tools > Aplinka (Environment; naujesnėse versijose modulyje System). Ten TYPO3 taip pat tikrina, ar aplinka atitinka reikalavimus.
Ištaisytos oficialios (upstream) versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Daug TYPO3 serverių veikia su Linux distribucijomis, kurios taisymus pateikia kaip atgalinį perkėlimą (backport); tada versijos numeris nesikeičia. Lemia paketų būsena ir operatoriaus patvirtinimas. Kurias PHP versijas palaiko jūsų TYPO3 versija, pagal sistemos reikalavimus patikrinkite typo3.org.
Be to, daug TYPO3 diegimų planuoklį (Scheduler) vykdo per cron užduotį su komandinės eilutės PHP. Šis CLI PHP gali būti kitos versijos nei žiniatinklio PHP ir taip pat turi būti pataisytas. Abejodami patikrinkite, koks PHP kelias nurodytas cron užduotyje. Kelių serverių sąrangose tai galioja kiekvienam serveriui, taip pat dažnai pamirštiems redaktorių ir peržiūros serveriams.
Senesniuose institucijų serveriuose PHP dažnai vis dar veikia kaip Apache modulis. Šį veikimo būdą PHP komanda vertina kaip didžiausios rizikos, kodėl, paaiškina Kodėl mod_php kelia didžiausią riziką.
Katalogai ir konfigūracija TYPO3
Struktūra priklauso nuo versijos ir diegimo būdo. Naujesni diegimai per Composer atskiria viešus ir vidinius failus, senesni klasikiniai diegimai to nedaro.
| Vieta | Turinys | Patikros punktas |
|---|---|---|
config/system/settings.php arba typo3conf/LocalConfiguration.php (senesnės versijos) |
Duomenų bazės prieiga, šifravimo raktas, Install Tool slaptažodis | Keitimo data, reikšmes atnaujinti kilus įtarimui |
fileadmin/ |
Redaktorių failai | PHP failų čia būti neturėtų |
typo3temp/ |
rašomi laikinieji failai | netikėti PHP failai |
typo3conf/ext/ arba vendor/ |
Plėtiniai (Extensions) | nežinomi ar pakeisti plėtiniai |
var/log/ arba typo3temp/var/log/ |
Žurnalai | išsaugoti prieš keitimus |
Nepavojingos patikros komandinėje eilutėje; kelius pritaikykite savo diegimui:
# PHP failai redaktorių ir laikinuose kataloguose
find public/fileadmin public/typo3temp -type f -name "*.php"
# Ar nėra Install Tool atrakinimo failo?
find . -name "ENABLE_INSTALL_TOOL"
# Rodyti aktyvius plėtinius (Composer diegimas)
vendor/bin/typo3 extension:list
Užkirskite kelią PHP vykdymui fileadmin ir typo3temp žiniatinklio serverio lygiu. Tada ten patalpinto webshell bent jau nebus galima tiesiogiai iškviesti, net jei jis pateko į serverį.
Administravimas, Install Tool ir plėtiniai
Administravimas yra adresu /typo3. Patikrinkite administravimo naudotojus dėl nežinomų paskyrų su administratoriaus teisėmis ir dėl buvusių darbuotojų ar agentūrų paskyrų. TYPO3 papildomai turi „System Maintainer“ su ypač plačiomis teisėmis Admin Tools srityje; šis sąrašas turėtų būti labai trumpas.
Install Tool turi savo slaptažodį. Kilus įtarimui jį atnaujinkite lygiai kaip ir šifravimo raktą. Plėtiniai iš TYPO3 Extension Repository ir savos kūrimo išvystymai yra papildomas kodas; ypač senesni savi sprendimai dažnai stabdo PHP atnaujinimą. Užfiksuokite, kurių plėtinių iš tikrųjų reikia.
Ką gali TYPO3 atnaujinimas ir ko ne
TYPO3 atnaujinimas uždaro žinomas branduolio (Core) klaidas, plėtinio atnaujinimas plėtinio klaidas. Nė vienas netaiso PHP, nepaleidžia procesų iš naujo ir nepašalina webshell iš fileadmin. Todėl net ką tik atnaujintas TYPO3 gali turėti užpakalines duris iš laikotarpio prieš pataisą. Be to, pereiti prie naujesnės PHP versijos su senomis TYPO3 versijomis gali reikėti atnaujinti ir patį TYPO3. Tada reikia pereinamosios apsaugos ir laiko plano.
Viešosioms įstaigoms papildomai svarbi dokumentacija. Užfiksuokite, kada pataisa įdiegta ir kada paleista iš naujo, kokios patikros su kokiu rezultatu atliktos. Tai palengvina informacijos saugumo, duomenų apsaugos ir sąskaitų audito užklausas. Ir jūsų paslaugų teikėjas turėtų šiuos punktus patvirtinti raštu.
Kaip PHP SOS padeda konkrečiai?
- Nustatome jūsų TYPO3 serverio PHP versiją, veikimo būdą ir atgalinių perkėlimų (backport) būseną ir leidžiame patvirtinti paleidimą iš naujo.
- Išsaugome žurnalus nuo 2026 m. spalio 20 d. ir dabartinę failų bei duomenų bazės būseną.
- Tikriname
fileadmin,typo3temp, konfigūraciją, plėtinius ir administravimo paskyras dėl įtartinų požymių. - Pagal serverio sustiprinimą užrakiname PHP vykdymą įkėlimų aplankuose ir dokumentuojame būseną jūsų informacijos saugumui.
Dažni klausimai
Ar dėl PHP2Shell turiu atnaujinti TYPO3?
TYPO3 atnaujinimas PHP2Shell neuždaro, nes spraga yra serverio PHP. Vis tiek laikykite TYPO3 naujausią. Dėl PHP2Shell reikia PHP atnaujinimo arba patvirtinto atgalinio perkėlimo (backport) ir visų PHP procesų paleidimo iš naujo.
Kur TYPO3 galiu pamatyti PHP versiją?
Administratoriai ją mato sistemos informacijoje viršutinėje administravimo juostoje ir skiltyje Admin Tools, dalyje Aplinka (Environment). Ar įdiegtas atgalinis perkėlimas, TYPO3 nerodo; tai patvirtina talpintojas arba serverio administratorius.
Kas yra failas ENABLE_INSTALL_TOOL?
Jis atrakina Install Tool, kuriuo galima keisti pagrindinius nustatymus. Įprastai šio failo neturėtų būti. Jei jį netikėtai randate, tai priežastis atidžiau patikrinti.
Ar institucijoms, naudojančioms TYPO3, taikomos ypatingos pareigos?
Viešosios įstaigos dažnai orientuojasi į BSI IT-Grundschutz (Vokietijos IT pagrindinę apsaugą) ir savo žemės reikalavimus. Kokios pareigos taikomos konkrečiu atveju, išsiaiškinkite su savo informacijos saugumo ir duomenų apsaugos pareigūnu.