Stručně: Zranitelnost PHP2Shell se netýká samotného TYPO3, ale PHP pod ním. Aktualizace TYPO3 proto nepomůže. Zkontrolujte stav PHP a restart, uzamkněte Install Tool a prověřte fileadmin, typo3temp a nainstalované extensions.
Proč by provozovatelé TYPO3 měli jednat hned
TYPO3 je v Německu rozšířeno u obcí, vysokých škol, spolků i středních firem. Mnoho těchto webů běží roky stabilně a sahá se na ně jen zřídka. Právě to je u PHP2Shell činí zranitelnými: zranitelnosti CVE-2026-109618 a CVE-2026-109619 jsou v interpretu PHP a podle týmu PHP umožňují spuštění škodlivého kódu na dálku bez přihlášení.
BSI (německý spolkový úřad pro informační bezpečnost) vyhlásil varovný stupeň 3 (oranžový) a doporučuje okamžitou aktualizaci. Pokud to není možné, mají být webové servery dočasně odpojeny od sítě. Shrnutí oficiální situace najdete v článku Co BSI k PHP2Shell doporučuje.
Zranitelnost PHP v TYPO3: kontrola stavu PHP v backendu
Administrátoři vidí verzi PHP v TYPO3 na dvou místech: v systémových informacích v horní liště backendu a v nabídce Admin Tools > Prostředí (v novějších verzích v modulu Systém). TYPO3 tam také kontroluje, zda prostředí odpovídá požadavkům.
Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Mnoho serverů s TYPO3 běží na distribucích Linuxu, které opravy dodávají jako backport; číslo verze pak zůstává stejné. Rozhodující jsou stav balíčku a potvrzení provozovatele. Které verze PHP vaše verze TYPO3 podporuje, ověříte podle systémových požadavků na typo3.org.
Mnoho instalací TYPO3 navíc spouští Scheduler úlohou cron s PHP pro příkazovou řádku. Toto CLI PHP může být jiná verze než webové PHP a musí být záplatováno stejně. V případě pochybností zkontrolujte, jaká cesta k PHP je uvedena v úloze cron. U nastavení s více servery to platí pro každý jednotlivý server, také pro redakční a náhledové servery, na které se často zapomíná.
Na starších serverech úřadů běží PHP často ještě jako modul Apache. Tento provozní režim tým PHP hodnotí jako nejvyšší riziko; proč, vysvětluje článek Proč má mod_php nejvyšší riziko.
Adresáře a konfigurace v TYPO3
Struktura závisí na verzi a způsobu instalace. Novější instalace přes Composer oddělují veřejné a interní soubory, starší klasické instalace nikoli.
| Místo | Obsah | Bod kontroly |
|---|---|---|
config/system/settings.php resp. typo3conf/LocalConfiguration.php (starší verze) |
Přístup k databázi, šifrovací klíč, heslo Install Tool | Datum změny, hodnoty při podezření obnovit |
fileadmin/ |
Soubory redaktorů | Soubory PHP sem nepatří |
typo3temp/ |
Zapisovatelné dočasné soubory | Neočekávané soubory PHP |
typo3conf/ext/ resp. vendor/ |
Extensions | Neznámé nebo změněné extensions |
var/log/ resp. typo3temp/var/log/ |
Protokoly | Zálohovat před změnami |
Neškodné kontroly na příkazové řádce, cesty upravte podle své instalace:
# Soubory PHP v adresářích redaktorů a dočasných souborů
find public/fileadmin public/typo3temp -type f -name "*.php"
# Neleží někde odemykací soubor pro Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Zobrazit aktivní extensions (instalace přes Composer)
vendor/bin/typo3 extension:list
Zabraňte spouštění PHP ve fileadmin a typo3temp na úrovni webového serveru. Webshell, která tam byla uložena, pak alespoň nebude přímo volatelná, i když se na server dostala.
Backend, Install Tool a extensions
Backend leží na adrese /typo3. Zkontrolujte uživatele backendu, zda neobsahují neznámé účty s právy administrátora a účty bývalých zaměstnanců nebo agentur. TYPO3 zná navíc „System Maintainer“ s obzvlášť rozsáhlými právy v oblasti Admin Tools; tento seznam by měl být velmi krátký.
Install Tool má vlastní heslo. Při podezření jej obnovte stejně jako šifrovací klíč. Extensions z TYPO3 Extension Repository a vlastní vývoj jsou dodatečný kód; právě starší vlastní vývoj často brzdí upgrade PHP. Zjistěte, které extensions se skutečně používají.
Co aktualizace TYPO3 zvládne a co ne
Aktualizace TYPO3 uzavře známé chyby v jádru, aktualizace extension chyby v extension. Ani jedno nezáplatuje PHP, nerestartuje procesy a neodstraní webshell ze fileadmin. I čerstvě aktualizované TYPO3 tak může obsahovat zadní vrátka z doby před záplatou. K tomu přistupuje, že přechod na novější verzi PHP může u starých stavů TYPO3 vyžadovat upgrade TYPO3. Pak potřebujete přechodnou ochranu a časový plán.
U veřejných institucí přistupuje dokumentace. Zaznamenejte, kdy byla záplata nasazena a kdy proběhl restart, jaké kontroly proběhly a s jakým výsledkem. Usnadní to dotazy informační bezpečnosti, ochrany osobních údajů a kontroly hospodaření. I váš dodavatel by vám tyto body měl potvrdit písemně.
Jak konkrétně pomáhá PHP SOS?
- Zjistíme verzi PHP, provozní režim a stav backportů vašeho serveru s TYPO3 a necháme si potvrdit restart.
- Zálohujeme logy od 20. 10. 2026 a aktuální stav souborů a databáze.
- Kontrolujeme
fileadmin,typo3temp, konfiguraci, extensions a účty backendu, zda nevykazují nápadnosti. - V rámci zpevnění serveru zakážeme spouštění PHP ve složkách pro nahrávání a stav zdokumentujeme pro vaši informační bezpečnost.
Časté dotazy
Musím kvůli PHP2Shell aktualizovat TYPO3?
Aktualizace TYPO3 PHP2Shell neuzavře, protože zranitelnost je v PHP serveru. TYPO3 přesto udržujte aktuální. Pro PHP2Shell potřebujete aktualizaci PHP nebo potvrzený backport a restart všech procesů PHP.
Kde v TYPO3 vidím verzi PHP?
Administrátoři ji vidí v systémových informacích v horní liště backendu a v oblasti Admin Tools v části Prostředí. Zda byl nasazen backport, TYPO3 neukazuje; to potvrdí poskytovatel hostingu nebo správce serveru.
Co je soubor ENABLE_INSTALL_TOOL?
Odemyká Install Tool, kterým lze měnit ústřední nastavení. V běžném provozu by soubor neměl existovat. Pokud se neočekávaně najde, je to důvod k pečlivější kontrole.
Platí pro úřady s TYPO3 zvláštní povinnosti?
Veřejné instituce se často řídí německým standardem BSI IT-Grundschutz (základní ochrana IT) a pravidly své spolkové země. Které povinnosti platí v konkrétním případě, ujasněte s pověřencem pro informační bezpečnost a ochranu osobních údajů.