Kort sagt: TYPO3 PHP-sårbarheten PHP2Shell berör inte TYPO3 självt utan PHP under det. En TYPO3-uppdatering hjälper därför inte. Kontrollera PHP-status och omstart, spärra Install Tool och granska fileadmin, typo3temp och de installerade tilläggen (extensions).
Varför TYPO3-driftansvariga bör agera nu
TYPO3 är i Tyskland utbrett hos kommuner, högskolor, förbund och i medelstora företag. Många av dessa webbplatser har körts stabilt i åratal och rörs sällan. Just det gör dem sårbara vid PHP2Shell: sårbarheterna CVE-2026-109618 och CVE-2026-109619 finns i PHP-tolken och gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning.
BSI (den tyska federala myndigheten för informationssäkerhet) har utlyst varningsnivå 3 (orange) och rekommenderar omedelbar uppdatering. Är det inte möjligt ska webbservrar tillfälligt tas offline. En sammanfattning av det officiella läget finns under Vad BSI rekommenderar om PHP2Shell.
TYPO3 PHP-sårbarhet: kontrollera PHP-status i backend
Administratörer ser PHP-versionen i TYPO3 på två ställen: i systeminformationen i backendens övre list och under Admin Tools > Miljö (i nyare versioner i modulen System). Där kontrollerar TYPO3 också om miljön uppfyller kraven.
Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Många TYPO3-servrar körs på Linux-distributioner som levererar rättningar som backport; då förblir versionsnumret detsamma. Avgörande är paketstatus och driftansvarigas bekräftelse. Vilka PHP-versioner er TYPO3-version stöder kontrollerar ni enligt systemkraven på typo3.org.
Många TYPO3-installationer kör dessutom Scheduler via ett cronjobb med kommandoradens PHP. Detta CLI-PHP kan vara en annan version än webb-PHP och måste vara patchat på samma sätt. Kontrollera vid tveksamhet vilken PHP-sökväg som står i cronjobbet. Vid uppsättningar med flera servrar gäller det varje enskild server, även redaktions- och förhandsgranskningsservrar, som ofta glöms bort.
På äldre myndighetsservrar körs PHP ofta fortfarande som Apache-modul. Den driftformen klassar PHP-teamet som högsta risk, varför förklaras i Varför mod_php bär den högsta risken.
Kataloger och konfiguration i TYPO3
Strukturen beror på version och installationssätt. Nyare installationer via Composer skiljer på publika och interna filer, äldre klassiska installationer gör det inte.
| Plats | Innehåll | Kontrollpunkt |
|---|---|---|
config/system/settings.php respektive typo3conf/LocalConfiguration.php (äldre versioner) |
Databasåtkomst, krypteringsnyckel, Install Tool-lösenord | Ändringsdatum, förnya värden vid misstanke |
fileadmin/ |
Redaktörernas filer | PHP-filer hör inte hemma här |
typo3temp/ |
skrivbara temporära filer | oväntade PHP-filer |
typo3conf/ext/ respektive vendor/ |
Extensions | okända eller ändrade extensions |
var/log/ respektive typo3temp/var/log/ |
Loggar | säkra före ändringar |
Ofarliga kontroller på kommandoraden, anpassa sökvägarna till er installation:
# PHP-filer i redaktörs- och temp-kataloger
find public/fileadmin public/typo3temp -type f -name "*.php"
# Ligger det en upplåsningsfil för Install Tool någonstans?
find . -name "ENABLE_INSTALL_TOOL"
# Visa aktiva extensions (Composer-installation)
vendor/bin/typo3 extension:list
Förhindra körning av PHP i fileadmin och typo3temp på webbserversnivå. Då går en webshell som lagts där åtminstone inte att anropa direkt, även om den har tagit sig in på servern.
Backend, Install Tool och extensions
Backend ligger under /typo3. Kontrollera backend-användarna med avseende på okända konton med administratörsbehörighet och på konton som tillhör tidigare medarbetare eller byråer. TYPO3 har dessutom ”System Maintainer” med särskilt vittgående rättigheter i området Admin Tools; den listan bör vara mycket kort.
Install Tool har ett eget lösenord. Vid misstanke förnyar ni det på samma sätt som krypteringsnyckeln. Extensions från TYPO3 Extension Repository och egenutvecklingar är extra kod; framför allt äldre egenutvecklingar bromsar ofta en PHP-uppgradering. Sammanställ vilka extensions som verkligen behövs.
Vad en TYPO3-uppdatering klarar och inte klarar
En TYPO3-uppdatering stänger kända fel i kärnan, en extension-uppdatering fel i extensionen. Ingen av dem patchar PHP, startar om några processer eller tar bort en webshell ur fileadmin. Även ett nyss uppdaterat TYPO3 kan alltså innehålla en bakdörr från tiden före patchen. Dessutom kan ett byte till en nyare PHP-version hos gamla TYPO3-versioner förutsätta en TYPO3-uppgradering. Då behöver ni ett tillfälligt skydd och en tidsplan.
För offentliga organ tillkommer dokumentationen. Anteckna när patchen installerades och när omstarten gjordes samt vilka kontroller som genomfördes med vilket resultat. Det underlättar frågor från informationssäkerhet, dataskydd och revision. Även er tjänsteleverantör bör bekräfta dessa punkter skriftligen.
Hur hjälper PHP SOS konkret?
- Vi fastställer PHP-version, driftform och backport-status på er TYPO3-server och låter omstarten bekräftas.
- Vi säkrar loggar från och med den 20 oktober 2026 och aktuellt läge för filer och databas.
- Vi kontrollerar
fileadmin,typo3temp, konfiguration, extensions och backend-konton med avseende på avvikelser. - Inom ramen för serverhärdningen spärrar vi PHP-körning i uppladdningsmappar och dokumenterar läget för er informationssäkerhet.
Vanliga frågor
Måste jag uppdatera TYPO3 på grund av PHP2Shell?
En TYPO3-uppdatering stänger inte PHP2Shell, eftersom sårbarheten finns i serverns PHP. Håll ändå TYPO3 aktuellt. För PHP2Shell behöver ni en PHP-uppdatering eller en bekräftad backport och omstart av alla PHP-processer.
Var ser jag PHP-versionen i TYPO3?
Administratörer ser den i systeminformationen i backendens övre list och i området Admin Tools under Miljö. Om en backport har installerats visar TYPO3 inte; det bekräftar webbhotellet eller serveradministratören.
Vad är filen ENABLE_INSTALL_TOOL?
Den låser upp Install Tool, med vilket centrala inställningar kan ändras. I normal drift ska filen inte finnas. Hittar ni den oväntat är det ett skäl till en närmare kontroll.
Gäller särskilda skyldigheter för myndigheter med TYPO3?
Offentliga organ utgår ofta från BSI:s IT-Grundschutz och från sitt lands regler. Vilka skyldigheter som gäller i det enskilda fallet klarar ni ut med ert informationssäkerhets- och dataskyddsombud.