# Zranitelnost PHP2Shell a TYPO3: jak správně zabezpečit weby

> TYPO3 a PHP2Shell: ověřte stav PHP v backendu, zkontrolujte fileadmin a typo3temp, uzamkněte Install Tool a mějte pod kontrolou extensions.

Zdroj: https://phpsos.de/cs/plattformen/typo3/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Zranitelnost PHP2Shell se netýká samotného TYPO3, ale PHP pod ním. Aktualizace TYPO3 proto nepomůže. Zkontrolujte stav PHP a restart, uzamkněte Install Tool a prověřte `fileadmin`, `typo3temp` a nainstalované extensions.

## Proč by provozovatelé TYPO3 měli jednat hned

TYPO3 je v Německu rozšířeno u obcí, vysokých škol, spolků i středních firem. Mnoho těchto webů běží roky stabilně a sahá se na ně jen zřídka. Právě to je u PHP2Shell činí zranitelnými: zranitelnosti CVE-2026-109618 a CVE-2026-109619 jsou v interpretu PHP a podle týmu PHP umožňují spuštění škodlivého kódu na dálku bez přihlášení.

BSI (německý spolkový úřad pro informační bezpečnost) vyhlásil varovný stupeň 3 (oranžový) a doporučuje okamžitou aktualizaci. Pokud to není možné, mají být webové servery dočasně odpojeny od sítě. Shrnutí oficiální situace najdete v článku [Co BSI k PHP2Shell doporučuje](https://phpsos.de/cs/compliance/bsi-empfehlungen/).

## Zranitelnost PHP v TYPO3: kontrola stavu PHP v backendu

Administrátoři vidí verzi PHP v TYPO3 na dvou místech: v systémových informacích v horní liště backendu a v nabídce **Admin Tools > Prostředí** (v novějších verzích v modulu Systém). TYPO3 tam také kontroluje, zda prostředí odpovídá požadavkům.

Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Mnoho serverů s TYPO3 běží na distribucích Linuxu, které opravy dodávají jako backport; číslo verze pak zůstává stejné. Rozhodující jsou stav balíčku a potvrzení provozovatele. Které verze PHP vaše verze TYPO3 podporuje, ověříte podle systémových požadavků na typo3.org.

Mnoho instalací TYPO3 navíc spouští Scheduler úlohou cron s PHP pro příkazovou řádku. Toto CLI PHP může být jiná verze než webové PHP a musí být záplatováno stejně. V případě pochybností zkontrolujte, jaká cesta k PHP je uvedena v úloze cron. U nastavení s více servery to platí pro každý jednotlivý server, také pro redakční a náhledové servery, na které se často zapomíná.

Na starších serverech úřadů běží PHP často ještě jako modul Apache. Tento provozní režim tým PHP hodnotí jako nejvyšší riziko; proč, vysvětluje článek [Proč má mod_php nejvyšší riziko](https://phpsos.de/cs/php2shell/mod-php-risiko/).

## Adresáře a konfigurace v TYPO3

Struktura závisí na verzi a způsobu instalace. Novější instalace přes Composer oddělují veřejné a interní soubory, starší klasické instalace nikoli.

| Místo | Obsah | Bod kontroly |
|---|---|---|
| `config/system/settings.php` resp. `typo3conf/LocalConfiguration.php` (starší verze) | Přístup k databázi, šifrovací klíč, heslo Install Tool | Datum změny, hodnoty při podezření obnovit |
| `fileadmin/` | Soubory redaktorů | Soubory PHP sem nepatří |
| `typo3temp/` | Zapisovatelné dočasné soubory | Neočekávané soubory PHP |
| `typo3conf/ext/` resp. `vendor/` | Extensions | Neznámé nebo změněné extensions |
| `var/log/` resp. `typo3temp/var/log/` | Protokoly | Zálohovat před změnami |

Neškodné kontroly na příkazové řádce, cesty upravte podle své instalace:

```bash
# Soubory PHP v adresářích redaktorů a dočasných souborů
find public/fileadmin public/typo3temp -type f -name "*.php"
# Neleží někde odemykací soubor pro Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Zobrazit aktivní extensions (instalace přes Composer)
vendor/bin/typo3 extension:list
```

> **Tip:**
> Zabraňte spouštění PHP ve `fileadmin` a `typo3temp` na úrovni webového serveru. Webshell, která tam byla uložena, pak alespoň nebude přímo volatelná, i když se na server dostala.

## Backend, Install Tool a extensions

Backend leží na adrese `/typo3`. Zkontrolujte uživatele backendu, zda neobsahují neznámé účty s právy administrátora a účty bývalých zaměstnanců nebo agentur. TYPO3 zná navíc „System Maintainer“ s obzvlášť rozsáhlými právy v oblasti Admin Tools; tento seznam by měl být velmi krátký.

Install Tool má vlastní heslo. Při podezření jej obnovte stejně jako šifrovací klíč. Extensions z TYPO3 Extension Repository a vlastní vývoj jsou dodatečný kód; právě starší vlastní vývoj často brzdí upgrade PHP. Zjistěte, které extensions se skutečně používají.

## Co aktualizace TYPO3 zvládne a co ne

Aktualizace TYPO3 uzavře známé chyby v jádru, aktualizace extension chyby v extension. Ani jedno nezáplatuje PHP, nerestartuje procesy a neodstraní webshell ze `fileadmin`. I čerstvě aktualizované TYPO3 tak může obsahovat zadní vrátka z doby před záplatou. K tomu přistupuje, že přechod na novější verzi PHP může u starých stavů TYPO3 vyžadovat upgrade TYPO3. Pak potřebujete přechodnou ochranu a časový plán.

U veřejných institucí přistupuje dokumentace. Zaznamenejte, kdy byla záplata nasazena a kdy proběhl restart, jaké kontroly proběhly a s jakým výsledkem. Usnadní to dotazy informační bezpečnosti, ochrany osobních údajů a kontroly hospodaření. I váš dodavatel by vám tyto body měl potvrdit písemně.

## Jak konkrétně pomáhá PHP SOS?

- Zjistíme verzi PHP, provozní režim a stav backportů vašeho serveru s TYPO3 a necháme si potvrdit restart.
- Zálohujeme logy od 20. 10. 2026 a aktuální stav souborů a databáze.
- Kontrolujeme `fileadmin`, `typo3temp`, konfiguraci, extensions a účty backendu, zda nevykazují nápadnosti.
- V rámci [zpevnění serveru](https://phpsos.de/cs/leistungen/server-haertung/) zakážeme spouštění PHP ve složkách pro nahrávání a stav zdokumentujeme pro vaši informační bezpečnost.


## Časté dotazy

**Musím kvůli PHP2Shell aktualizovat TYPO3?**  
Aktualizace TYPO3 PHP2Shell neuzavře, protože zranitelnost je v PHP serveru. TYPO3 přesto udržujte aktuální. Pro PHP2Shell potřebujete aktualizaci PHP nebo potvrzený backport a restart všech procesů PHP.

**Kde v TYPO3 vidím verzi PHP?**  
Administrátoři ji vidí v systémových informacích v horní liště backendu a v oblasti Admin Tools v části Prostředí. Zda byl nasazen backport, TYPO3 neukazuje; to potvrdí poskytovatel hostingu nebo správce serveru.

**Co je soubor ENABLE_INSTALL_TOOL?**  
Odemyká Install Tool, kterým lze měnit ústřední nastavení. V běžném provozu by soubor neměl existovat. Pokud se neočekávaně najde, je to důvod k pečlivější kontrole.

**Platí pro úřady s TYPO3 zvláštní povinnosti?**  
Veřejné instituce se často řídí německým standardem BSI IT-Grundschutz (základní ochrana IT) a pravidly své spolkové země. Které povinnosti platí v konkrétním případě, ujasněte s pověřencem pro informační bezpečnost a ochranu osobních údajů.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz (základní ochrana IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI (německý spolkový úřad pro informační bezpečnost)](https://www.bsi.bund.de/)