Krótko: Luka bezpieczeństwa PHP2Shell w TYPO3 nie dotyczy samego TYPO3, lecz PHP pod spodem. Aktualizacja TYPO3 nie pomaga więc w tej sprawie. Proszę sprawdzić stan PHP i restart, zablokować Install Tool oraz skontrolować fileadmin, typo3temp i zainstalowane rozszerzenia.
Dlaczego administratorzy TYPO3 powinni działać teraz
TYPO3 jest w Niemczech rozpowszechnione w gminach, szkołach wyższych, stowarzyszeniach i średnich firmach. Wiele z tych stron działa stabilnie od lat i rzadko się je dotyka. Właśnie to czyni je podatnymi przy PHP2Shell: luki CVE-2026-109618 i CVE-2026-109619 leżą w interpreterze PHP i umożliwiają według zespołu PHP zdalne wykonanie złośliwego kodu bez logowania.
BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) ogłosił poziom ostrzegawczy 3 (pomarańczowy) i zaleca natychmiastową aktualizację. Jeżeli nie jest to możliwe, serwery WWW mają zostać czasowo odłączone od sieci. Podsumowanie oficjalnej sytuacji znajdą Państwo w artykule Co BSI zaleca w sprawie PHP2Shell.
Luka bezpieczeństwa PHP w TYPO3: sprawdzanie stanu PHP w backendzie
Administratorzy widzą wersję PHP w TYPO3 w dwóch miejscach: w informacjach o systemie na górnym pasku backendu oraz w Admin Tools > Środowisko (w nowszych wersjach w module System). TYPO3 sprawdza tam również, czy środowisko spełnia wymagania.
Naprawione wersje upstream to 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Wiele serwerów TYPO3 działa na dystrybucjach Linuksa, które dostarczają poprawki jako backport; wtedy numer wersji pozostaje taki sam. Rozstrzygające są stan pakietów i potwierdzenie operatora. To, które wersje PHP obsługuje Państwa wersja TYPO3, można sprawdzić w wymaganiach systemowych na typo3.org.
Wiele instalacji TYPO3 uruchamia ponadto Scheduler przez zadanie cron z PHP wiersza poleceń. To PHP CLI może być inną wersją niż PHP sieciowe i również musi być załatane. W razie wątpliwości proszę sprawdzić, jaka ścieżka PHP znajduje się w zadaniu cron. W konfiguracjach wieloserwerowych dotyczy to każdego serwera z osobna, także serwerów redakcyjnych i podglądowych, o których często się zapomina.
Na starszych serwerach urzędów PHP nadal często działa jako moduł Apache. Ten tryb pracy zespół PHP ocenia jako najwyższe ryzyko, a dlaczego tak jest, wyjaśnia artykuł Dlaczego mod_php niesie najwyższe ryzyko.
Katalogi i konfiguracja w TYPO3
Struktura zależy od wersji i sposobu instalacji. Nowsze instalacje przez Composera oddzielają pliki publiczne od wewnętrznych, starsze instalacje klasyczne nie.
| Miejsce | Zawartość | Punkt kontroli |
|---|---|---|
config/system/settings.php lub typo3conf/LocalConfiguration.php (starsze wersje) |
Dane dostępowe do bazy danych, klucz szyfrowania, hasło Install Tool | Data zmiany, po podejrzeniu odnowić wartości |
fileadmin/ |
Pliki redaktorów | Pliki PHP nie powinny tu leżeć |
typo3temp/ |
Zapisywalne pliki tymczasowe | Nieoczekiwane pliki PHP |
typo3conf/ext/ lub vendor/ |
Rozszerzenia | Nieznane lub zmienione rozszerzenia |
var/log/ lub typo3temp/var/log/ |
Logi | Zabezpieczyć przed zmianami |
Bezpieczne kontrole w wierszu poleceń; ścieżki proszę dostosować do swojej instalacji:
# Pliki PHP w katalogach redaktorów i tymczasowych
find public/fileadmin public/typo3temp -type f -name "*.php"
# Czy gdzieś leży plik odblokowujący Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Wyświetlenie aktywnych rozszerzeń (instalacja Composera)
vendor/bin/typo3 extension:list
Proszę zablokować wykonywanie PHP w fileadmin i typo3temp na poziomie serwera WWW. Dzięki temu webshell umieszczony w tych katalogach nie będzie przynajmniej bezpośrednio dostępny, nawet jeśli dostał się na serwer.
Backend, Install Tool i rozszerzenia
Backend znajduje się pod /typo3. Proszę sprawdzić użytkowników backendu pod kątem nieznanych kont z uprawnieniami administratora oraz kont byłych pracowników lub agencji. TYPO3 zna dodatkowo „System Maintainers” z szczególnie daleko idącymi uprawnieniami w obszarze Admin Tools; lista ta powinna być bardzo krótka.
Install Tool ma własne hasło. W razie podejrzenia proszę je odnowić, podobnie jak klucz szyfrowania. Rozszerzenia z TYPO3 Extension Repository i własne rozwiązania to dodatkowy kod; zwłaszcza starsze własne rozwiązania często hamują aktualizację PHP. Proszę ustalić, jakich rozszerzeń naprawdę się potrzebuje.
Co daje aktualizacja TYPO3, a czego nie
Aktualizacja TYPO3 zamyka znane błędy w rdzeniu, a aktualizacja rozszerzenia błędy w tym rozszerzeniu. Żadna z nich nie łata PHP, nie restartuje procesów i nie usuwa webshella z fileadmin. Także świeżo zaktualizowane TYPO3 może więc zawierać tylne drzwi z czasów sprzed poprawki. Dochodzi do tego, że przejście na nowszą wersję PHP może w starych wersjach TYPO3 wymagać aktualizacji TYPO3. Wtedy potrzebna jest ochrona przejściowa i harmonogram.
Dla podmiotów publicznych dochodzi dokumentacja. Proszę zapisać, kiedy poprawka została wprowadzona i kiedy nastąpił restart oraz jakie kontrole przeprowadzono z jakim wynikiem. Ułatwia to pytania bezpieczeństwa informacji, ochrony danych i kontroli finansowej. Także Państwa dostawca usług powinien potwierdzić te punkty na piśmie.
Jak konkretnie pomaga PHP SOS?
- Ustalamy wersję PHP, tryb pracy i stan backportów na Państwa serwerze TYPO3 oraz prosimy o potwierdzenie restartu.
- Zabezpieczamy logi od 20.10.2026 oraz bieżący stan plików i bazy danych.
- Sprawdzamy
fileadmin,typo3temp, konfigurację, rozszerzenia i konta backendu pod kątem nieprawidłowości. - W ramach utwardzania serwera blokujemy wykonywanie PHP w folderach przesyłania i dokumentujemy stan dla Państwa bezpieczeństwa informacji.
Częste pytania
Czy muszę zaktualizować TYPO3 z powodu PHP2Shell?
Aktualizacja TYPO3 nie zamyka PHP2Shell, ponieważ luka leży w PHP serwera. TYPO3 warto jednak utrzymywać w aktualnej wersji. Na PHP2Shell potrzebna jest aktualizacja PHP lub potwierdzony backport oraz restart wszystkich procesów PHP.
Gdzie w TYPO3 zobaczę wersję PHP?
Administratorzy widzą ją w informacjach o systemie na górnym pasku backendu oraz w sekcji Admin Tools w części Środowisko. Tego, czy wprowadzono backport, TYPO3 nie pokazuje; potwierdza to firma hostingowa lub administrator serwera.
Czym jest plik ENABLE_INSTALL_TOOL?
Odblokowuje Install Tool, za pomocą którego można zmieniać centralne ustawienia. W normalnej pracy plik ten nie powinien istnieć. Jeśli zostanie znaleziony nieoczekiwanie, jest to powód do dokładniejszej kontroli.
Czy urzędy korzystające z TYPO3 mają szczególne obowiązki?
Podmioty publiczne często opierają się na IT-Grundschutz BSI (niemieckim standardzie podstawowej ochrony IT) oraz na wytycznych swojego kraju związkowego. To, jakie obowiązki obowiązują w konkretnym przypadku, należy ustalić z pełnomocnikiem ds. bezpieczeństwa informacji i inspektorem ochrony danych.