Em resumo: a vulnerabilidade PHP2Shell no TYPO3 não afeta o próprio TYPO3, mas o PHP que está por baixo. Uma atualização do TYPO3 não ajuda, por isso. Verifique o estado do PHP e o reinício, bloqueie o Install Tool e controle fileadmin, typo3temp e as extensões instaladas.
Porque devem os operadores de TYPO3 agir agora
O TYPO3 é muito difundido na Alemanha entre municípios, universidades, associações e empresas médias. Muitos destes sites funcionam há anos de forma estável e só raramente são mexidos. É precisamente isso que os torna vulneráveis ao PHP2Shell: as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 situam-se no interpretador PHP e, segundo a equipa do PHP, permitem executar código malicioso remotamente sem autenticação.
O BSI (Gabinete Federal Alemão para a Segurança da Informação) declarou o nível de alerta 3 (laranja) e recomenda a atualização imediata. Se isso não for possível, os servidores web devem ser retirados temporariamente da rede. Encontra um resumo da situação oficial em O que o BSI recomenda sobre o PHP2Shell.
Vulnerabilidade PHP no TYPO3: verificar o estado do PHP no backend
Os administradores veem a versão do PHP no TYPO3 em dois locais: na informação do sistema, na barra superior do backend, e em Admin Tools > Ambiente (em versões mais recentes, no módulo Sistema). Aí, o TYPO3 verifica também se o ambiente cumpre os requisitos.
As versões upstream corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Muitos servidores TYPO3 correm em distribuições Linux que entregam as correções como backport; nesse caso, o número de versão mantém-se. Decisivos são o estado do pacote e a confirmação do operador. Quais as versões do PHP que a sua versão do TYPO3 suporta, verifique-o nos requisitos de sistema em typo3.org.
Muitas instalações TYPO3 executam além disso o Scheduler através de uma tarefa cron com o PHP da linha de comandos. Este PHP da CLI pode ser de outra versão que o PHP web e também tem de ter o patch aplicado. Em caso de dúvida, verifique que caminho do PHP consta da tarefa cron. Em configurações com vários servidores, isto vale para cada servidor individual, também para os servidores de redação e de pré-visualização, que muitas vezes são esquecidos.
Em servidores mais antigos de entidades públicas, o PHP corre muitas vezes ainda como módulo do Apache. Este modo de operação é classificado pela equipa do PHP como o de maior risco; porquê, explica-o Porque é que o mod_php tem o maior risco.
Pastas e configuração no TYPO3
A estrutura depende da versão e do tipo de instalação. As instalações mais recentes via Composer separam ficheiros públicos e internos; as instalações clássicas mais antigas não.
| Local | Conteúdo | Ponto de verificação |
|---|---|---|
config/system/settings.php ou typo3conf/LocalConfiguration.php (versões mais antigas) |
Acesso à base de dados, chave de encriptação, palavra-passe do Install Tool | Data de alteração, renovar valores em caso de suspeita |
fileadmin/ |
Ficheiros dos editores | Ficheiros PHP não pertencem aqui |
typo3temp/ |
Ficheiros temporários graváveis | Ficheiros PHP inesperados |
typo3conf/ext/ ou vendor/ |
Extensões | Extensões desconhecidas ou alteradas |
var/log/ ou typo3temp/var/log/ |
Registos | Guardar antes de alterações |
Verificações inofensivas na linha de comandos; adapte os caminhos à sua instalação:
# Ficheiros PHP nas pastas dos editores e temporárias
find public/fileadmin public/typo3temp -type f -name "*.php"
# Existe por aí um ficheiro de ativação do Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Mostrar as extensões ativas (instalação com Composer)
vendor/bin/typo3 extension:list
Impeça a execução de PHP em fileadmin e typo3temp ao nível do servidor web. Assim, uma webshell aí colocada deixa de ser diretamente acessível, mesmo que tenha chegado ao servidor.
Backend, Install Tool e extensões
O backend fica em /typo3. Verifique os utilizadores do backend quanto a contas desconhecidas com direitos de administrador e a contas de antigos colaboradores ou agências. O TYPO3 conhece ainda os «System Maintainers», com direitos particularmente abrangentes na área Admin Tools; esta lista deve ser muito curta.
O Install Tool tem uma palavra-passe própria. Perante uma suspeita, renove-a, tal como a chave de encriptação. As extensões do TYPO3 Extension Repository e os desenvolvimentos próprios são código adicional; sobretudo os desenvolvimentos próprios mais antigos travam muitas vezes uma atualização do PHP. Registe que extensões são realmente necessárias.
O que uma atualização do TYPO3 faz e o que não faz
Uma atualização do TYPO3 corrige falhas conhecidas no núcleo, uma atualização de extensão corrige falhas na extensão. Nenhuma aplica patch ao PHP, reinicia processos ou remove uma webshell do fileadmin. Mesmo um TYPO3 recém-atualizado pode, portanto, conter uma backdoor do tempo anterior ao patch. Acresce que, em versões antigas do TYPO3, uma mudança para uma versão mais recente do PHP pode pressupor uma atualização do TYPO3. Nesse caso, precisa de proteção provisória e de um calendário.
Para os organismos públicos acresce a documentação. Registe quando o patch foi aplicado e quando foi feito o reinício e que verificações foram executadas, com que resultado. Isso facilita as perguntas da segurança da informação, da proteção de dados e da auditoria de contas. Também o seu prestador de serviços deve confirmar-lhe estes pontos por escrito.
Como ajuda concretamente a PHP SOS?
- Apuramos a versão do PHP, o modo de operação e o estado dos backports do seu servidor TYPO3 e fazemos confirmar o reinício.
- Guardamos registos a partir de 20/10/2026 e o estado atual dos ficheiros e da base de dados.
- Verificamos
fileadmin,typo3temp, a configuração, as extensões e as contas do backend quanto a anomalias. - No âmbito do reforço do servidor, bloqueamos a execução de PHP nas pastas de upload e documentamos o estado para a sua segurança da informação.
Perguntas frequentes
Tenho de atualizar o TYPO3 por causa do PHP2Shell?
Uma atualização do TYPO3 não corrige o PHP2Shell, porque a falha está no PHP do servidor. Mantenha, ainda assim, o TYPO3 atualizado. Para o PHP2Shell precisa de uma atualização do PHP ou de um backport confirmado e do reinício de todos os processos PHP.
Onde vejo a versão do PHP no TYPO3?
Os administradores veem-na na informação do sistema, na barra superior do backend, e na área Admin Tools, em Ambiente. O TYPO3 não mostra se foi aplicado um backport; isso é confirmado pelo fornecedor de alojamento ou pelo administrador do servidor.
O que é o ficheiro ENABLE_INSTALL_TOOL?
Ativa o Install Tool, com o qual se podem alterar definições centrais. Em funcionamento normal, o ficheiro não deve existir. Se aparecer inesperadamente, é motivo para uma verificação mais rigorosa.
As entidades públicas com TYPO3 têm deveres especiais?
Os organismos públicos orientam-se frequentemente pelo BSI IT-Grundschutz e por normas do seu estado federado. Quais os deveres que se aplicam em cada caso, esclareça-o com o seu responsável pela segurança da informação e pela proteção de dados.