Fil-qosor: Il-vulnerabbiltà ta' PHP2Shell f'TYPO3 ma taffettwax lil TYPO3 innifsu, imma l-PHP li hemm taħtu. Aġġornament ta' TYPO3 għalhekk ma jgħinx. Ivverifikaw l-istat ta' PHP u r-restart, ibblokkaw l-Install Tool u kkontrollaw fileadmin, typo3temp u l-extensions installati.
Għaliex l-operaturi ta' TYPO3 għandhom jaġixxu issa
TYPO3 huwa mifrux fil-Ġermanja għand muniċipalitajiet, universitajiet, assoċjazzjonijiet u intrapriżi ta' daqs medju. Ħafna minn dawn il-websajts ilhom snin jaħdmu b'mod stabbli u rari jintmessu. Propju dan jagħmilhom vulnerabbli għal PHP2Shell: il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jinsabu fl-interpretatur ta' PHP u, skont it-tim ta' PHP, jippermettu kodiċi malizzjuż mill-bogħod mingħajr login.
Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) ħareġ livell ta' twissija 3 (oranġjo) u jirrakkomanda aġġornament immedjat. Jekk dan mhuwiex possibbli, is-servers tal-web għandhom jitneħħew temporanjament min-netwerk. Sommarju tas-sitwazzjoni uffiċjali ssibu taħt X'jirrakkomanda l-BSI dwar PHP2Shell.
Vulnerabbiltà ta' PHP f'TYPO3: ivverifikaw l-istat ta' PHP fil-backend
L-amministraturi jaraw il-verżjoni ta' PHP f'TYPO3 f'żewġ postijiet: fl-informazzjoni tas-sistema fil-bar ta' fuq tal-backend u taħt Admin Tools > Environment (f'verżjonijiet ġodda fil-modulu System). Hemmhekk TYPO3 jivverifika wkoll jekk l-ambjent jaqbilx mar-rekwiżiti.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Ħafna servers ta' TYPO3 jaħdmu fuq distribuzzjonijiet tal-Linux li jwasslu l-korrezzjonijiet bħala backport; allura n-numru tal-verżjoni jibqa' l-istess. Id-deċiżivi huma l-istat tal-pakkett u l-konferma tal-operatur. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' TYPO3 tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq typo3.org.
Ħafna installazzjonijiet ta' TYPO3 barra minn hekk iħaddmu l-Scheduler permezz ta' cronjob bil-PHP tal-linja tal-kmand. Dan il-PHP tas-CLI jista' jkun verżjoni differenti mill-PHP tal-web u jrid ikun ippatchjat ukoll. Jekk għandkom dubju, ivverifikaw liema mogħdija ta' PHP tidher fil-cronjob. Fis-setups b'diversi servers dan japplika għal kull server individwali, anke għal servers tal-editorjal u tal-preview, li spiss jintnesew.
Fuq servers qodma ta' awtoritajiet PHP spiss għadu jaħdem bħala modulu ta' Apache. Din il-modalità t-tim ta' PHP jikklassifikaha bħala r-riskju l-aktar għoli; għaliex jispjegah Għaliex mod_php iġorr l-ogħla riskju.
Direttorji u konfigurazzjoni f'TYPO3
L-istruttura tiddependi mill-verżjoni u mit-tip ta' installazzjoni. Installazzjonijiet ġodda permezz ta' Composer jifirdu l-fajls pubbliċi minn dawk interni, installazzjonijiet klassiċi aktar qodma le.
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
config/system/settings.php jew typo3conf/LocalConfiguration.php (verżjonijiet aktar qodma) |
Aċċess tad-database, ċavetta tal-kriptaġġ, password tal-Install Tool | Data tal-bidla, ġeddu l-valuri wara suspett |
fileadmin/ |
Fajls tal-editors | Hawn m'għandux ikun hemm fajls PHP |
typo3temp/ |
Fajls temporanji li jistgħu jinkitbu | Fajls PHP mhux mistennija |
typo3conf/ext/ jew vendor/ |
Extensions | Extensions mhux magħrufa jew mibdula |
var/log/ jew typo3temp/var/log/ |
Protokolli | Issalvaw qabel il-bidliet |
Verifiki mingħajr periklu fil-linja tal-kmand, adattaw il-mogħdijiet għall-installazzjoni tagħkom:
# Fajls PHP fid-direttorji tal-editors u tat-temp
find public/fileadmin public/typo3temp -type f -name "*.php"
# Hemm fajl li jiftaħ l-Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Uri l-extensions attivi (installazzjoni b'Composer)
vendor/bin/typo3 extension:list
Evitaw l-eżekuzzjoni ta' PHP f'fileadmin u typo3temp fil-livell tas-server tal-web. Hekk webshell li tpoġġiet hemm ma tkunx tista' tiġi msejħa direttament, anke jekk waslet fuq is-server.
Backend, Install Tool u extensions
Il-backend jinsab taħt /typo3. Ivverifikaw l-utenti tal-backend għal kontijiet mhux magħrufa b'drittijiet ta' amministratur u għal kontijiet ta' impjegati ta' qabel jew ta' aġenziji. TYPO3 jaf ukoll "System Maintainers" b'drittijiet partikolarment wiesgħa fiż-żona Admin Tools; din il-lista għandha tkun qasira ħafna.
L-Install Tool għandu password proprja. Wara suspett ġedduha bħaċ-ċavetta tal-kriptaġġ. L-extensions mir-Repository tal-Extensions ta' TYPO3 u l-iżvilupp proprju huma kodiċi addizzjonali; propju l-iżvilupp proprju aktar qadim spiss iwaqqaf upgrade ta' PHP. Ħarsu liema extensions verament huma meħtieġa.
X'jagħmel aġġornament ta' TYPO3 u x'ma jagħmilx
Aġġornament ta' TYPO3 jagħlaq żbalji magħrufa fil-qalba, aġġornament ta' extension żbalji fl-extension. It-tnejn ma jipatchjawx PHP, ma jibdewx mill-ġdid proċessi u ma jneħħux webshell minn fileadmin. Anke TYPO3 aġġornat reċentement jista' għalhekk ikun fih backdoor minn żmien qabel il-patch. Jiżdied li bidla għal verżjoni ġdida ta' PHP f'verżjonijiet qodma ta' TYPO3 tista' teħtieġ upgrade ta' TYPO3. Allura għandkom bżonn protezzjoni temporanja u skeda taż-żmien.
Għall-entitajiet pubbliċi tiżdied id-dokumentazzjoni. Żommu bil-miktub meta ġie installat il-patch, meta sar ir-restart u liema verifiki saru b'liema riżultat. Dan jiffaċilita mistoqsijiet mis-sigurtà tal-informazzjoni, mill-protezzjoni tad-data u mill-awditjar tal-kontijiet. Anke l-fornitur tagħkom għandu jikkonfermalkom dawn il-punti bil-miktub.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu l-verżjoni ta' PHP, il-modalità tat-tħaddim u l-istat tal-backport tas-server ta' TYPO3 tagħkom u nikkonfermaw ir-restart.
- Insalvaw il-logs mill-20/10/2026 u l-istat attwali tal-fajls u tad-database.
- Niċċekkjaw
fileadmin,typo3temp, il-konfigurazzjoni, l-extensions u l-kontijiet tal-backend għal anomaliji. - Fil-qafas tat-tisħiħ tas-server nibblokkaw l-eżekuzzjoni ta' PHP fil-folders tal-upload u niddokumentaw l-istat għas-sigurtà tal-informazzjoni tagħkom.
Mistoqsijiet frekwenti
Irrid naġġorna TYPO3 minħabba PHP2Shell?
Aġġornament ta' TYPO3 ma jagħlaqx PHP2Shell, għax il-vulnerabbiltà tinsab fil-PHP tas-server. Madankollu żommu TYPO3 aġġornat. Għal PHP2Shell għandkom bżonn aġġornament ta' PHP jew backport ikkonfermat u r-restart tal-proċessi kollha ta' PHP.
Fejn nara l-verżjoni ta' PHP f'TYPO3?
L-amministraturi jarawha fl-informazzjoni tas-sistema fil-bar ta' fuq tal-backend u fit-taqsima Admin Tools taħt Environment. Jekk backport ġiex installat TYPO3 ma juriħx; dan jikkonfermah il-hoster jew l-amministratur tas-server.
X'inhu l-fajl ENABLE_INSTALL_TOOL?
Jiftaħ l-Install Tool, li permezz tiegħu jistgħu jinbidlu issettjar ċentrali. Fl-operat normali l-fajl m'għandux jeżisti. Jekk jinstab b'mod mhux mistenni, dan huwa raġuni għal verifika eżatta.
L-awtoritajiet b'TYPO3 għandhom obbligi speċjali?
L-entitajiet pubbliċi spiss jorjentaw ruħhom lejn l-IT-Grundschutz tal-BSI u lejn ir-rekwiżiti tal-pajjiż tagħhom. Liema obbligi japplikaw f'każ individwali tiċċarawh mal-uffiċjal tas-sigurtà tal-informazzjoni u tal-protezzjoni tad-data tagħkom.