Īsi: TYPO3 PHP ievainojamība PHP2Shell skar nevis pašu TYPO3, bet PHP zem tā. Tāpēc TYPO3 atjauninājums nepalīdz. Pārbaudiet PHP stāvokli un pārstartēšanu, bloķējiet Install Tool un kontrolējiet fileadmin, typo3temp un uzstādītos paplašinājumus (Extensions).
Kāpēc TYPO3 vietņu īpašniekiem tagad jārīkojas
TYPO3 Vācijā ir izplatīts pašvaldībās, augstskolās, apvienībās un vidējos uzņēmumos. Daudzas no šīm vietnēm gadiem darbojas stabili, un tām reti pieskaras. Tieši tas padara tās neaizsargātas PHP2Shell gadījumā: ievainojamības CVE-2026-109618 un CVE-2026-109619 atrodas PHP interpretatorā un saskaņā ar PHP komandu ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās.
BSI (Vācijas Federālais informācijas drošības birojs) ir izsludinājis 3. brīdinājuma līmeni (oranžs) un iesaka nekavējoties atjaunināt. Ja tas nav iespējams, tīmekļa serveri jāatvieno no tīkla uz laiku. Oficiālās situācijas kopsavilkumu atradīsiet sadaļā Ko BSI iesaka attiecībā uz PHP2Shell.
TYPO3 PHP ievainojamība: PHP stāvokļa pārbaude administrēšanas panelī
Administratori PHP versiju TYPO3 redz divās vietās: sistēmas informācijā administrēšanas paneļa augšējā joslā un sadaļā Admin Tools > Environment (jaunākās versijās modulī System). Tur TYPO3 pārbauda arī, vai vide atbilst prasībām.
Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Daudzi TYPO3 serveri darbojas uz Linux distributīviem, kas labojumus piegādā kā backport; tad versijas numurs paliek tāds pats. Izšķirošs ir pakotnes stāvoklis un operatora apstiprinājums. Kuras PHP versijas atbalsta jūsu TYPO3 versija, pārbaudiet pēc sistēmas prasībām vietnē typo3.org.
Daudzas TYPO3 instalācijas turklāt Scheduler izpilda ar cron uzdevumu, izmantojot komandrindas PHP. Šis CLI PHP var būt cita versija nekā tīmekļa PHP, un tam jābūt ielāpotam tāpat. Šaubu gadījumā pārbaudiet, kāds PHP ceļš norādīts cron uzdevumā. Vairāku serveru uzbūvē tas attiecas uz katru atsevišķu serveri, arī uz redaktoru un priekšskatījuma serveriem, kurus bieži aizmirst.
Vecākos iestāžu serveros PHP bieži vēl darbojas kā Apache modulis. Šo darbības veidu PHP komanda vērtē kā augstāko risku, kāpēc, skaidro raksts Kāpēc mod_php rada augstāko risku.
Direktorijas un konfigurācija TYPO3
Struktūra ir atkarīga no versijas un instalēšanas veida. Jaunākas instalācijas ar Composer nošķir publiskos un iekšējos failus, vecākas klasiskās instalācijas to nedara.
| Vieta | Saturs | Pārbaudes punkts |
|---|---|---|
config/system/settings.php vai typo3conf/LocalConfiguration.php (vecākas versijas) |
Datubāzes piekļuve, šifrēšanas atslēga, Install Tool parole | Izmaiņu datums, aizdomu gadījumā vērtības mainīt |
fileadmin/ |
Redaktoru faili | PHP failiem šeit nav jābūt |
typo3temp/ |
Rakstāmi pagaidu faili | Negaidīti PHP faili |
typo3conf/ext/ vai vendor/ |
Paplašinājumi (Extensions) | Nezināmi vai mainīti paplašinājumi |
var/log/ vai typo3temp/var/log/ |
Žurnāli | Saglabāt pirms izmaiņām |
Droši pārbaudes soļi komandrindā, ceļus lūdzu pielāgojiet savai instalācijai:
# PHP faili redaktoru un pagaidu direktorijās
find public/fileadmin public/typo3temp -type f -name "*.php"
# Vai kaut kur atrodas Install Tool atbloķēšanas fails?
find . -name "ENABLE_INSTALL_TOOL"
# Aktive Extensions anzeigen (Composer-Installation)
vendor/bin/typo3 extension:list
Aizliedziet PHP izpildi mapēs fileadmin un typo3temp tīmekļa servera līmenī. Tad tur novietots webshell vismaz nav tieši izsaucams, pat ja tas ir nonācis serverī.
Administrēšanas panelis, Install Tool un paplašinājumi
Administrēšanas panelis atrodas adresē /typo3. Pārbaudiet administrēšanas paneļa lietotājus uz nezināmiem kontiem ar administratora tiesībām un uz bijušo darbinieku vai aģentūru kontiem. TYPO3 papildus pazīst „System Maintainer” ar īpaši plašām tiesībām sadaļā Admin Tools; šim sarakstam jābūt ļoti īsam.
Install Tool ir sava parole. Aizdomu gadījumā mainiet to tāpat kā šifrēšanas atslēgu. Paplašinājumi no TYPO3 Extension Repository un pašizstrādātie risinājumi ir papildu kods; tieši vecāki pašizstrādātie risinājumi bieži bremzē PHP jauninājumu. Apkopojiet, kuri paplašinājumi patiešām vajadzīgi.
Ko TYPO3 atjauninājums dod un ko ne
TYPO3 atjauninājums aizver zināmas kļūdas kodolā, paplašinājuma atjauninājums kļūdas paplašinājumā. Neviens no tiem neielāpo PHP, nepārstartē procesus un nenoņem webshell no fileadmin. Arī tikko atjaunināts TYPO3 tāpēc var saturēt slēptu ieeju no laika pirms ielāpa. Tam pievienojas tas, ka pāreja uz jaunāku PHP versiju vecos TYPO3 stāvokļos var prasīt TYPO3 jauninājumu. Tad nepieciešama pagaidu aizsardzība un laika plāns.
Publiskajām iestādēm pievienojas dokumentācija. Fiksējiet, kad ielāps tika ieviests un kad notika pārstartēšana un kādas pārbaudes ar kādu rezultātu tika veiktas. Tas atvieglo jautājumus no informācijas drošības, datu aizsardzības un rēķinu pārbaudes puses. Arī jūsu pakalpojumu sniedzējam šie punkti jums jāapstiprina rakstiski.
Kā PHP SOS palīdz konkrēti?
- Mēs nosakām jūsu TYPO3 servera PHP versiju, darbības veidu un backport stāvokli un liekam apstiprināt pārstartēšanu.
- Mēs saglabājam žurnālus no 20.10.2026 un pašreizējo failu un datubāzes stāvokli.
- Mēs pārbaudām
fileadmin,typo3temp, konfigurāciju, paplašinājumus un administrēšanas paneļa kontus uz neatbilstībām. - Serveru nostiprināšanas ietvaros mēs bloķējam PHP izpildi augšupielāžu mapēs un dokumentējam stāvokli jūsu informācijas drošībai.
Biežāk uzdotie jautājumi
Vai man PHP2Shell dēļ jāatjaunina TYPO3?
TYPO3 atjauninājums PHP2Shell neaizver, jo ievainojamība atrodas servera PHP. TYPO3 tomēr uzturiet aktuālu. PHP2Shell gadījumā vajadzīgs PHP atjauninājums vai apstiprināts backport un visu PHP procesu pārstartēšana.
Kur TYPO3 redzu PHP versiju?
Administratori to redz sistēmas informācijā administrēšanas paneļa augšējā joslā un sadaļā Admin Tools zem Environment. Vai backport ir ieviests, TYPO3 nerāda; to apstiprina hostinga sniedzējs vai servera administrators.
Kas ir fails ENABLE_INSTALL_TOOL?
Tas atbloķē Install Tool, ar kuru var mainīt centrālos iestatījumus. Parastā darbībā šim failam nevajadzētu pastāvēt. Ja tas negaidīti atrodas, tas ir iemesls rūpīgākai pārbaudei.
Vai iestādēm ar TYPO3 ir īpaši pienākumi?
Publiskās iestādes bieži balstās uz BSI IT-Grundschutz un savas zemes noteikumiem. Kādi pienākumi konkrētajā gadījumā ir spēkā, noskaidrojiet kopā ar savu informācijas drošības speciālistu un datu aizsardzības speciālistu.