Pe scurt: Vulnerabilitatea PHP2Shell din TYPO3 nu afectează TYPO3 însuși, ci PHP-ul de dedesubt. O actualizare TYPO3 nu ajută, de aceea. Verificați starea PHP și repornirea, blocați Install Tool și controlați fileadmin, typo3temp și extensiile instalate.
De ce ar trebui operatorii TYPO3 să acționeze acum
În Germania, TYPO3 este răspândit la comune, universități, asociații și în firmele mijlocii. Multe dintre aceste site-uri rulează stabil de ani de zile și sunt atinse rar. Exact acest lucru le face vulnerabile la PHP2Shell: vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 se află în interpretorul PHP și permit, potrivit echipei PHP, cod malițios la distanță, fără autentificare.
BSI (Oficiul Federal German pentru Securitatea Informațiilor) a declarat nivelul de avertizare 3 (portocaliu) și recomandă actualizarea imediată. Dacă aceasta nu este posibilă, serverele web trebuie scoase temporar din rețea. Un rezumat al situației oficiale găsiți la Ce recomandă BSI pentru PHP2Shell.
Vulnerabilitatea PHP din TYPO3: verificarea versiunii PHP în backend
Administratorii văd versiunea PHP în TYPO3 în două locuri: în informațiile de sistem din bara de sus a backend-ului și la Admin Tools > Mediu (în versiunile mai noi, în modulul System). Acolo TYPO3 verifică și dacă mediul corespunde cerințelor.
Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Multe servere TYPO3 rulează pe distribuții Linux care livrează corecțiile ca backport; atunci numărul versiunii rămâne același. Decisive sunt starea pachetului și confirmarea operatorului. Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de TYPO3 verificați conform cerințelor de sistem de pe typo3.org.
Multe instalări TYPO3 rulează, în plus, Scheduler printr-un cronjob cu PHP-ul din linia de comandă. Acest PHP CLI poate fi o altă versiune decât PHP-ul web și trebuie să aibă și el patchul aplicat. În caz de îndoială, verificați ce cale PHP figurează în cronjob. La configurațiile cu mai multe servere, acest lucru se aplică fiecărui server în parte, inclusiv serverelor de redacție și de previzualizare, care sunt adesea uitate.
Pe serverele mai vechi ale autorităților, PHP rulează adesea încă ca modul Apache. Echipa PHP încadrează acest mod de operare la riscul cel mai ridicat; de ce explică De ce mod_php poartă cel mai mare risc.
Directoare și configurație în TYPO3
Structura depinde de versiune și de tipul de instalare. Instalările mai noi prin Composer separă fișierele publice de cele interne, instalările clasice mai vechi nu.
| Loc | Conținut | Punct de verificare |
|---|---|---|
config/system/settings.php, respectiv typo3conf/LocalConfiguration.php (versiuni mai vechi) |
Accesul la baza de date, cheia de criptare, parola Install Tool | Data modificării, reînnoiți valorile în caz de suspiciune |
fileadmin/ |
Fișierele redactorilor | Fișierele PHP nu au ce căuta aici |
typo3temp/ |
Fișiere temporare inscriptibile | Fișiere PHP neașteptate |
typo3conf/ext/, respectiv vendor/ |
Extensii | Extensii necunoscute sau modificate |
var/log/, respectiv typo3temp/var/log/ |
Jurnale | Salvați înainte de modificări |
Verificări inofensive în linia de comandă; adaptați căile la instalarea dumneavoastră:
# Fișiere PHP în directoarele redactorilor și temporare
find public/fileadmin public/typo3temp -type f -name "*.php"
# Există pe undeva un fișier de activare pentru Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Afișarea extensiilor active (instalare Composer)
vendor/bin/typo3 extension:list
Împiedicați execuția PHP în fileadmin și typo3temp la nivelul serverului web. Astfel, un webshell depus acolo nu poate fi apelat direct, chiar dacă a ajuns pe server.
Backend, Install Tool și extensii
Backend-ul se află la /typo3. Verificați utilizatorii de backend pentru conturi necunoscute cu drepturi de administrator și pentru conturi ale unor foști angajați sau agenții. TYPO3 cunoaște în plus „System Maintainer”, cu drepturi deosebit de extinse în zona Admin Tools; această listă ar trebui să fie foarte scurtă.
Install Tool are o parolă proprie. În caz de suspiciune, reînnoiți-o la fel ca cheia de criptare. Extensiile din TYPO3 Extension Repository și dezvoltările proprii sunt cod suplimentar; mai ales dezvoltările proprii mai vechi frânează adesea un upgrade PHP. Inventariați ce extensii sunt cu adevărat necesare.
Ce poate și ce nu poate o actualizare TYPO3
O actualizare TYPO3 închide erori cunoscute din nucleu, o actualizare de extensie închide erori din extensie. Niciuna nu aplică patchul PHP, nu repornește procese și nu elimină un webshell din fileadmin. Chiar și un TYPO3 abia actualizat poate conține, așadar, o ușă dosnică din perioada dinaintea patchului. La aceasta se adaugă faptul că trecerea la o versiune PHP mai nouă poate presupune, la versiunile TYPO3 vechi, un upgrade TYPO3. Atunci aveți nevoie de o protecție de tranziție și de un calendar.
Pentru instituțiile publice se adaugă documentarea. Consemnați când a fost aplicat patchul și când s-a repornit, precum și ce verificări au fost efectuate și cu ce rezultat. Aceasta ușurează întrebările din partea securității informațiilor, protecției datelor și auditului financiar. Și prestatorul dumneavoastră ar trebui să vă confirme aceste puncte în scris.
Cum ajută PHP SOS concret?
- Stabilim versiunea PHP, modul de operare și starea backporturilor serverului dumneavoastră TYPO3 și punem să fie confirmată repornirea.
- Salvăm jurnalele începând cu 20.10.2026 și starea actuală a fișierelor și a bazei de date.
- Verificăm
fileadmin,typo3temp, configurația, extensiile și conturile de backend pentru nereguli. - În cadrul securizării serverului, blocăm execuția PHP în directoarele de upload și documentăm starea pentru securitatea dumneavoastră informațională.
Întrebări frecvente
Trebuie să actualizez TYPO3 din cauza PHP2Shell?
O actualizare TYPO3 nu închide PHP2Shell, deoarece vulnerabilitatea se află în PHP-ul serverului. Țineți totuși TYPO3 actualizat. Pentru PHP2Shell aveți nevoie de o actualizare PHP sau de un backport confirmat și de repornirea tuturor proceselor PHP.
Unde văd versiunea PHP în TYPO3?
Administratorii o văd în informațiile de sistem din bara de sus a backend-ului și în zona Admin Tools, la Mediu. Dacă a fost aplicat un backport nu arată TYPO3; acest lucru îl confirmă furnizorul de hosting sau administratorul serverului.
Ce este fișierul ENABLE_INSTALL_TOOL?
El activează Install Tool, cu care pot fi modificate setări centrale. În funcționarea normală, fișierul nu ar trebui să existe. Dacă apare neașteptat, este un motiv pentru o verificare mai atentă.
Există obligații speciale pentru autoritățile cu TYPO3?
Instituțiile publice se orientează adesea după protecția de bază IT (IT-Grundschutz) a BSI și după cerințele landului lor. Ce obligații se aplică în cazul concret clarificați cu responsabilul dumneavoastră pentru securitatea informațiilor și cu cel pentru protecția datelor.