Накратко: Уязвимостта в PHP при TYPO3, PHP2Shell, не засяга самия TYPO3, а PHP под него. Затова актуализация на TYPO3 не помага. Проверете състоянието на PHP и рестартирането, заключете Install Tool и проверете fileadmin, typo3temp и инсталираните разширения (extensions).
Защо операторите на TYPO3 трябва да действат сега
TYPO3 е разпространен в Германия при общини, висши училища, сдружения и средни фирми. Много от тези уебсайтове работят стабилно от години и рядко се пипат. Точно това ги прави уязвими при PHP2Shell: уязвимостите CVE-2026-109618 и CVE-2026-109619 са в интерпретатора на PHP и позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата.
BSI (Федерална служба за информационна сигурност на Германия) обяви ниво на предупреждение 3 (оранжево) и препоръча незабавна актуализация. Ако това не е възможно, уеб сървърите трябва временно да се изключат от мрежата. Обобщение на официалното положение ще намерите на страницата Какво препоръчва BSI за PHP2Shell.
Уязвимост в PHP при TYPO3: проверка на състоянието на PHP в бекенда
Администраторите виждат версията на PHP в TYPO3 на две места: в системната информация в горната лента на бекенда и под Admin Tools > Environment (в по-новите версии в модула System). Там TYPO3 проверява и дали средата отговаря на изискванията.
Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Много сървъри с TYPO3 работят на Linux дистрибуции, които доставят корекциите като backport; тогава номерът на версията остава същият. Решаващи са състоянието на пакета и потвърждението на оператора. Кои версии на PHP поддържа Вашата версия на TYPO3, проверете според системните изисквания на typo3.org.
Много инсталации на TYPO3 освен това изпълняват Scheduler чрез cron задача с PHP за командния ред. Този CLI PHP може да е друга версия от уеб PHP и също трябва да е пачнат. При съмнение проверете кой път към PHP е записан в cron задачата. При настройки с няколко сървъра това важи за всеки отделен сървър, и за редакционните и предварителните сървъри, които често се забравят.
На по-стари сървъри на институции PHP често още работи като модул на Apache. Екипът на PHP оценява този режим на работа като най-висок риск; защо, обяснява Защо mod_php носи най-висок риск.
Директории и конфигурация в TYPO3
Структурата зависи от версията и вида на инсталацията. По-новите инсталации чрез Composer разделят публичните и вътрешните файлове, по-старите класически инсталации не го правят.
| Място | Съдържание | Какво да проверите |
|---|---|---|
config/system/settings.php респ. typo3conf/LocalConfiguration.php (по-стари версии) |
достъп до базата данни, ключ за криптиране, парола на Install Tool | дата на промяна, при подозрение сменете стойностите |
fileadmin/ |
файлове на редакторите | тук не бива да има PHP файлове |
typo3temp/ |
временни файлове с право за запис | неочаквани PHP файлове |
typo3conf/ext/ респ. vendor/ |
разширения (extensions) | непознати или променени разширения |
var/log/ респ. typo3temp/var/log/ |
протоколи | запазете преди промени |
Безопасни проверки в командния ред, пътищата моля адаптирайте към Вашата инсталация:
# PHP файлове в директориите на редакторите и в temp директориите
find public/fileadmin public/typo3temp -type f -name "*.php"
# Налице ли е файл за отключване на Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Показване на активните разширения (инсталация чрез Composer)
vendor/bin/typo3 extension:list
Забранете изпълнението на PHP във fileadmin и typo3temp на ниво уеб сървър. Така качен там уеб шел поне не може да се извика директно, дори и да е стигнал до сървъра.
Бекенд, Install Tool и разширения
Бекендът е на /typo3. Проверете бекенд потребителите за непознати акаунти с администраторски права и за акаунти на бивши служители или агенции. TYPO3 познава допълнително „System Maintainer“ с особено широки права в областта Admin Tools; този списък трябва да е много кратък.
Install Tool има собствена парола. При подозрение я подновете, както и ключа за криптиране. Разширенията от TYPO3 Extension Repository и собствените разработки са допълнителен код; най-вече по-старите собствени разработки често спират надграждането на PHP. Установете кои разширения наистина са нужни.
Какво постига актуализацията на TYPO3 и какво не
Актуализацията на TYPO3 затваря известни грешки в ядрото, актуализацията на разширение – грешки в разширението. И двете не пачват PHP, не рестартират процеси и не премахват уеб шел от fileadmin. Дори свежо актуализиран TYPO3 може да съдържа задна вратичка от времето преди пача. Освен това смяната към по-нова версия на PHP при стари състояния на TYPO3 може да изисква надграждане на TYPO3. Тогава Ви трябват преходна защита и график.
За публичните органи се добавя документацията. Запишете кога е внесен пачът и кога е направено рестартиране и какви проверки са извършени с какъв резултат. Това улеснява запитванията на информационната сигурност, защитата на данните и одита. И Вашият доставчик трябва да Ви потвърди тези точки писмено.
Как помага PHP SOS конкретно?
- Установяваме версията на PHP, режима на работа и състоянието на backport-овете на Вашия сървър с TYPO3 и получаваме потвърждение за рестартирането.
- Запазваме логове от 20.10.2026 г. нататък и текущото състояние на файловете и базата данни.
- Проверяваме
fileadmin,typo3temp, конфигурацията, разширенията и бекенд акаунтите за нередности. - В рамките на заздравяването на сървъра блокираме изпълнението на PHP в папките за качване и документираме състоянието за Вашата информационна сигурност.
Често задавани въпроси
Трябва ли да актуализирам TYPO3 заради PHP2Shell?
Актуализацията на TYPO3 не затваря PHP2Shell, защото уязвимостта е в PHP на сървъра. Все пак дръжте TYPO3 актуален. За PHP2Shell Ви трябват актуализация на PHP или потвърден backport и рестартиране на всички PHP процеси.
Къде виждам версията на PHP в TYPO3?
Администраторите я виждат в системната информация в горната лента на бекенда и в областта Admin Tools под Environment. Дали е внесен backport, TYPO3 не показва; това потвърждава хостинг доставчикът или администраторът на сървъра.
Какво е файлът ENABLE_INSTALL_TOOL?
Той отключва Install Tool, с който могат да се променят централни настройки. При нормална експлоатация файлът не трябва да съществува. Ако се намери неочаквано, това е повод за по-внимателна проверка.
Важат ли особени задължения за институции с TYPO3?
Публичните органи често се ръководят от IT-Grundschutz на BSI и от изискванията на своята провинция. Какви задължения важат в конкретния случай, изяснете с Вашето длъжностно лице по информационна сигурност и по защита на данните.