Kort gezegd: Het TYPO3 PHP-beveiligingslek PHP2Shell betreft niet TYPO3 zelf, maar de PHP eronder. Een TYPO3-update helpt daarom niet. Controleer PHP-status en herstart, blokkeer het Install Tool en controleer fileadmin, typo3temp en de geïnstalleerde extensies.
Waarom TYPO3-beheerders nu moeten handelen
TYPO3 is in Duitsland wijdverbreid bij gemeenten, hogescholen, verbanden en in het mkb. Veel van deze websites draaien al jaren stabiel en worden zelden aangeraakt. Juist dat maakt ze bij PHP2Shell kwetsbaar: de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 zitten in de PHP-interpreter en maken het volgens het PHP-team mogelijk om op afstand en zonder inloggen schadelijke code uit te voeren.
Het BSI (de Duitse federale dienst voor informatiebeveiliging) heeft waarschuwingsniveau 3 (oranje) afgekondigd en adviseert een onmiddellijke update. Is die niet mogelijk, dan moeten webservers tijdelijk van het netwerk. Een samenvatting van de officiële situatie vindt u onder Wat het BSI over PHP2Shell adviseert.
TYPO3 PHP-beveiligingslek: PHP-status in de back-end controleren
Beheerders zien de PHP-versie in TYPO3 op twee plekken: in de systeeminformatie in de bovenste balk van de back-end en onder Admin Tools > Omgeving (in nieuwere versies in de module Systeem). Daar controleert TYPO3 ook of de omgeving aan de eisen voldoet.
Verholpen upstreamversies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Veel TYPO3-servers draaien op Linux-distributies die correcties als backport leveren; dan blijft het versienummer gelijk. Beslissend zijn de pakketstatus en de bevestiging van de beheerder. Welke PHP-versies uw TYPO3-versie ondersteunt, controleert u volgens de systeemeisen op typo3.org.
Veel TYPO3-installaties voeren bovendien de Scheduler uit via een cronjob met de opdrachtregel-PHP. Die CLI-PHP kan een andere versie zijn dan de web-PHP en moet net zo goed zijn gepatcht. Controleer bij twijfel welk PHP-pad in de cronjob staat. Bij opstellingen met meerdere servers geldt dat voor elke afzonderlijke server, ook voor redactie- en voorbeeldservers, die vaak worden vergeten.
Op oudere overheidsservers draait PHP vaak nog als Apache-module. Deze uitvoeringsmodus kwalificeert het PHP-team als hoogste risico; waarom, legt Waarom mod_php het hoogste risico draagt uit.
Mappen en configuratie in TYPO3
De structuur hangt af van versie en installatiewijze. Nieuwere installaties via Composer scheiden openbare en interne bestanden, oudere klassieke installaties niet.
| Plek | Inhoud | Controlepunt |
|---|---|---|
config/system/settings.php resp. typo3conf/LocalConfiguration.php (oudere versies) |
Databasetoegang, versleutelingssleutel, wachtwoord van het Install Tool | Wijzigingsdatum, waarden bij vermoeden vernieuwen |
fileadmin/ |
Bestanden van de redacteuren | PHP-bestanden horen hier niet thuis |
typo3temp/ |
beschrijfbare tijdelijke bestanden | onverwachte PHP-bestanden |
typo3conf/ext/ resp. vendor/ |
Extensies | onbekende of gewijzigde extensies |
var/log/ resp. typo3temp/var/log/ |
Logbestanden | vóór wijzigingen veiligstellen |
Ongevaarlijke controles op de opdrachtregel; pas de paden aan uw installatie aan:
# PHP-bestanden in redacteurs- en tijdelijke mappen
find public/fileadmin public/typo3temp -type f -name "*.php"
# Staat er ergens een vrijgavebestand voor het Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Actieve extensies weergeven (Composer-installatie)
vendor/bin/typo3 extension:list
Voorkom de uitvoering van PHP in fileadmin en typo3temp op webserverniveau. Een daar geplaatste webshell is dan in elk geval niet rechtstreeks aan te roepen, ook al is ze op de server terechtgekomen.
Back-end, Install Tool en extensies
De back-end staat onder /typo3. Controleer de back-endgebruikers op onbekende accounts met beheerdersrechten en op accounts van voormalige medewerkers of bureaus. TYPO3 kent bovendien "System Maintainers" met bijzonder verstrekkende rechten in het onderdeel Admin Tools; die lijst moet zeer kort zijn.
Het Install Tool heeft een eigen wachtwoord. Vernieuw het bij een vermoeden, net als de versleutelingssleutel. Extensies uit de TYPO3 Extension Repository en eigen ontwikkelingen zijn extra code; juist oudere eigen ontwikkelingen remmen een PHP-upgrade vaak af. Inventariseer welke extensies echt nodig zijn.
Wat een TYPO3-update wel en niet doet
Een TYPO3-update dicht bekende fouten in de core, een extensie-update fouten in de extensie. Beide patchen PHP niet, herstarten geen processen en verwijderen geen webshell uit fileadmin. Ook een net bijgewerkte TYPO3 kan dus een achterdeur uit de tijd vóór de patch bevatten. Daar komt bij dat een overstap naar een nieuwere PHP-versie bij oude TYPO3-versies een TYPO3-upgrade kan vereisen. Dan hebt u tijdelijke bescherming en een tijdschema nodig.
Voor overheidsinstanties komt de documentatie erbij. Leg vast wanneer de patch is doorgevoerd en wanneer er is herstart en welke controles met welk resultaat zijn uitgevoerd. Dat vergemakkelijkt vragen van informatiebeveiliging, gegevensbescherming en rekenkamer. Ook uw dienstverlener moet u deze punten schriftelijk bevestigen.
Hoe helpt PHP SOS concreet?
- Wij stellen PHP-versie, uitvoeringsmodus en backportstatus van uw TYPO3-server vast en laten de herstart bevestigen.
- Wij maken een kopie van de logs vanaf 20-10-2026 en van de actuele stand van bestanden en database.
- Wij controleren
fileadmin,typo3temp, configuratie, extensies en back-endaccounts op opvallende zaken. - In het kader van de serverbeveiliging blokkeren wij PHP-uitvoering in uploadmappen en documenteren wij de stand voor uw informatiebeveiliging.
Veelgestelde vragen
Moet ik vanwege PHP2Shell TYPO3 bijwerken?
Een TYPO3-update sluit PHP2Shell niet, omdat de kwetsbaarheid in de PHP van de server zit. Houd TYPO3 toch actueel. Voor PHP2Shell hebt u een PHP-update of een bevestigde backport nodig en de herstart van alle PHP-processen.
Waar zie ik in TYPO3 de PHP-versie?
Beheerders zien haar in de systeeminformatie in de bovenste balk van de back-end en in het onderdeel Admin Tools onder Omgeving. Of er een backport is doorgevoerd, toont TYPO3 niet; dat bevestigt de hostingprovider of serverbeheerder.
Wat is het bestand ENABLE_INSTALL_TOOL?
Het schakelt het Install Tool vrij, waarmee centrale instellingen zijn te wijzigen. In normaal bedrijf mag het bestand niet bestaan. Staat het onverwacht ergens, dan is dat reden voor een nauwkeuriger controle.
Gelden er bijzondere verplichtingen voor overheden met TYPO3?
Overheidsinstanties richten zich vaak naar de BSI IT-Grundschutz (de Duitse basisbeveiliging voor IT) en naar voorschriften van hun deelstaat. Welke verplichtingen in het concrete geval gelden, bespreekt u met uw functionaris voor informatiebeveiliging en gegevensbescherming.