# Vulnerabbiltà ta' PHP2Shell f'TYPO3: kif tissigurizzaw sew il-websajts

> TYPO3 u PHP2Shell: iċċekkjaw l-istat ta' PHP fil-backend, ivverifikaw fileadmin u typo3temp, ibblokkaw l-Install Tool u żommu għajnejkom fuq l-extensions.

Sors: https://phpsos.de/mt/plattformen/typo3/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-vulnerabbiltà ta' PHP2Shell f'TYPO3 ma taffettwax lil TYPO3 innifsu, imma l-PHP li hemm taħtu. Aġġornament ta' TYPO3 għalhekk ma jgħinx. Ivverifikaw l-istat ta' PHP u r-restart, ibblokkaw l-Install Tool u kkontrollaw `fileadmin`, `typo3temp` u l-extensions installati.

## Għaliex l-operaturi ta' TYPO3 għandhom jaġixxu issa

TYPO3 huwa mifrux fil-Ġermanja għand muniċipalitajiet, universitajiet, assoċjazzjonijiet u intrapriżi ta' daqs medju. Ħafna minn dawn il-websajts ilhom snin jaħdmu b'mod stabbli u rari jintmessu. Propju dan jagħmilhom vulnerabbli għal PHP2Shell: il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jinsabu fl-interpretatur ta' PHP u, skont it-tim ta' PHP, jippermettu kodiċi malizzjuż mill-bogħod mingħajr login.

Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) ħareġ livell ta' twissija 3 (oranġjo) u jirrakkomanda aġġornament immedjat. Jekk dan mhuwiex possibbli, is-servers tal-web għandhom jitneħħew temporanjament min-netwerk. Sommarju tas-sitwazzjoni uffiċjali ssibu taħt [X'jirrakkomanda l-BSI dwar PHP2Shell](https://phpsos.de/mt/compliance/bsi-empfehlungen/).

## Vulnerabbiltà ta' PHP f'TYPO3: ivverifikaw l-istat ta' PHP fil-backend

L-amministraturi jaraw il-verżjoni ta' PHP f'TYPO3 f'żewġ postijiet: fl-informazzjoni tas-sistema fil-bar ta' fuq tal-backend u taħt **Admin Tools > Environment** (f'verżjonijiet ġodda fil-modulu System). Hemmhekk TYPO3 jivverifika wkoll jekk l-ambjent jaqbilx mar-rekwiżiti.

Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Ħafna servers ta' TYPO3 jaħdmu fuq distribuzzjonijiet tal-Linux li jwasslu l-korrezzjonijiet bħala backport; allura n-numru tal-verżjoni jibqa' l-istess. Id-deċiżivi huma l-istat tal-pakkett u l-konferma tal-operatur. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' TYPO3 tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq typo3.org.

Ħafna installazzjonijiet ta' TYPO3 barra minn hekk iħaddmu l-Scheduler permezz ta' cronjob bil-PHP tal-linja tal-kmand. Dan il-PHP tas-CLI jista' jkun verżjoni differenti mill-PHP tal-web u jrid ikun ippatchjat ukoll. Jekk għandkom dubju, ivverifikaw liema mogħdija ta' PHP tidher fil-cronjob. Fis-setups b'diversi servers dan japplika għal kull server individwali, anke għal servers tal-editorjal u tal-preview, li spiss jintnesew.

Fuq servers qodma ta' awtoritajiet PHP spiss għadu jaħdem bħala modulu ta' Apache. Din il-modalità t-tim ta' PHP jikklassifikaha bħala r-riskju l-aktar għoli; għaliex jispjegah [Għaliex mod_php iġorr l-ogħla riskju](https://phpsos.de/mt/php2shell/mod-php-risiko/).

## Direttorji u konfigurazzjoni f'TYPO3

L-istruttura tiddependi mill-verżjoni u mit-tip ta' installazzjoni. Installazzjonijiet ġodda permezz ta' Composer jifirdu l-fajls pubbliċi minn dawk interni, installazzjonijiet klassiċi aktar qodma le.

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `config/system/settings.php` jew `typo3conf/LocalConfiguration.php` (verżjonijiet aktar qodma) | Aċċess tad-database, ċavetta tal-kriptaġġ, password tal-Install Tool | Data tal-bidla, ġeddu l-valuri wara suspett |
| `fileadmin/` | Fajls tal-editors | Hawn m'għandux ikun hemm fajls PHP |
| `typo3temp/` | Fajls temporanji li jistgħu jinkitbu | Fajls PHP mhux mistennija |
| `typo3conf/ext/` jew `vendor/` | Extensions | Extensions mhux magħrufa jew mibdula |
| `var/log/` jew `typo3temp/var/log/` | Protokolli | Issalvaw qabel il-bidliet |

Verifiki mingħajr periklu fil-linja tal-kmand, adattaw il-mogħdijiet għall-installazzjoni tagħkom:

```bash
# Fajls PHP fid-direttorji tal-editors u tat-temp
find public/fileadmin public/typo3temp -type f -name "*.php"
# Hemm fajl li jiftaħ l-Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Uri l-extensions attivi (installazzjoni b'Composer)
vendor/bin/typo3 extension:list
```

> **Suġġeriment:**
> Evitaw l-eżekuzzjoni ta' PHP f'`fileadmin` u `typo3temp` fil-livell tas-server tal-web. Hekk webshell li tpoġġiet hemm ma tkunx tista' tiġi msejħa direttament, anke jekk waslet fuq is-server.

## Backend, Install Tool u extensions

Il-backend jinsab taħt `/typo3`. Ivverifikaw l-utenti tal-backend għal kontijiet mhux magħrufa b'drittijiet ta' amministratur u għal kontijiet ta' impjegati ta' qabel jew ta' aġenziji. TYPO3 jaf ukoll "System Maintainers" b'drittijiet partikolarment wiesgħa fiż-żona Admin Tools; din il-lista għandha tkun qasira ħafna.

L-Install Tool għandu password proprja. Wara suspett ġedduha bħaċ-ċavetta tal-kriptaġġ. L-extensions mir-Repository tal-Extensions ta' TYPO3 u l-iżvilupp proprju huma kodiċi addizzjonali; propju l-iżvilupp proprju aktar qadim spiss iwaqqaf upgrade ta' PHP. Ħarsu liema extensions verament huma meħtieġa.

## X'jagħmel aġġornament ta' TYPO3 u x'ma jagħmilx

Aġġornament ta' TYPO3 jagħlaq żbalji magħrufa fil-qalba, aġġornament ta' extension żbalji fl-extension. It-tnejn ma jipatchjawx PHP, ma jibdewx mill-ġdid proċessi u ma jneħħux webshell minn `fileadmin`. Anke TYPO3 aġġornat reċentement jista' għalhekk ikun fih backdoor minn żmien qabel il-patch. Jiżdied li bidla għal verżjoni ġdida ta' PHP f'verżjonijiet qodma ta' TYPO3 tista' teħtieġ upgrade ta' TYPO3. Allura għandkom bżonn protezzjoni temporanja u skeda taż-żmien.

Għall-entitajiet pubbliċi tiżdied id-dokumentazzjoni. Żommu bil-miktub meta ġie installat il-patch, meta sar ir-restart u liema verifiki saru b'liema riżultat. Dan jiffaċilita mistoqsijiet mis-sigurtà tal-informazzjoni, mill-protezzjoni tad-data u mill-awditjar tal-kontijiet. Anke l-fornitur tagħkom għandu jikkonfermalkom dawn il-punti bil-miktub.

## Kif tgħin PHP SOS b'mod konkret?

- Nistabbilixxu l-verżjoni ta' PHP, il-modalità tat-tħaddim u l-istat tal-backport tas-server ta' TYPO3 tagħkom u nikkonfermaw ir-restart.
- Insalvaw il-logs mill-20/10/2026 u l-istat attwali tal-fajls u tad-database.
- Niċċekkjaw `fileadmin`, `typo3temp`, il-konfigurazzjoni, l-extensions u l-kontijiet tal-backend għal anomaliji.
- Fil-qafas tat-[tisħiħ tas-server](https://phpsos.de/mt/leistungen/server-haertung/) nibblokkaw l-eżekuzzjoni ta' PHP fil-folders tal-upload u niddokumentaw l-istat għas-sigurtà tal-informazzjoni tagħkom.


## Mistoqsijiet frekwenti

**Irrid naġġorna TYPO3 minħabba PHP2Shell?**  
Aġġornament ta' TYPO3 ma jagħlaqx PHP2Shell, għax il-vulnerabbiltà tinsab fil-PHP tas-server. Madankollu żommu TYPO3 aġġornat. Għal PHP2Shell għandkom bżonn aġġornament ta' PHP jew backport ikkonfermat u r-restart tal-proċessi kollha ta' PHP.

**Fejn nara l-verżjoni ta' PHP f'TYPO3?**  
L-amministraturi jarawha fl-informazzjoni tas-sistema fil-bar ta' fuq tal-backend u fit-taqsima Admin Tools taħt Environment. Jekk backport ġiex installat TYPO3 ma juriħx; dan jikkonfermah il-hoster jew l-amministratur tas-server.

**X'inhu l-fajl ENABLE_INSTALL_TOOL?**  
Jiftaħ l-Install Tool, li permezz tiegħu jistgħu jinbidlu issettjar ċentrali. Fl-operat normali l-fajl m'għandux jeżisti. Jekk jinstab b'mod mhux mistenni, dan huwa raġuni għal verifika eżatta.

**L-awtoritajiet b'TYPO3 għandhom obbligi speċjali?**  
L-entitajiet pubbliċi spiss jorjentaw ruħhom lejn l-IT-Grundschutz tal-BSI u lejn ir-rekwiżiti tal-pajjiż tagħhom. Liema obbligi japplikaw f'każ individwali tiċċarawh mal-uffiċjal tas-sigurtà tal-informazzjoni u tal-protezzjoni tad-data tagħkom.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz (protezzjoni bażika tal-IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)](https://www.bsi.bund.de/)