# Luka bezpieczeństwa PHP2Shell w TYPO3: jak prawidłowo zabezpieczyć strony

> TYPO3 i PHP2Shell: sprawdź stan PHP w backendzie, skontroluj fileadmin i typo3temp, zablokuj Install Tool i miej pod kontrolą rozszerzenia.

Źródło: https://phpsos.de/pl/plattformen/typo3/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Luka bezpieczeństwa PHP2Shell w TYPO3 nie dotyczy samego TYPO3, lecz PHP pod spodem. Aktualizacja TYPO3 nie pomaga więc w tej sprawie. Proszę sprawdzić stan PHP i restart, zablokować Install Tool oraz skontrolować `fileadmin`, `typo3temp` i zainstalowane rozszerzenia.

## Dlaczego administratorzy TYPO3 powinni działać teraz

TYPO3 jest w Niemczech rozpowszechnione w gminach, szkołach wyższych, stowarzyszeniach i średnich firmach. Wiele z tych stron działa stabilnie od lat i rzadko się je dotyka. Właśnie to czyni je podatnymi przy PHP2Shell: luki CVE-2026-109618 i CVE-2026-109619 leżą w interpreterze PHP i umożliwiają według zespołu PHP zdalne wykonanie złośliwego kodu bez logowania.

BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) ogłosił poziom ostrzegawczy 3 (pomarańczowy) i zaleca natychmiastową aktualizację. Jeżeli nie jest to możliwe, serwery WWW mają zostać czasowo odłączone od sieci. Podsumowanie oficjalnej sytuacji znajdą Państwo w artykule [Co BSI zaleca w sprawie PHP2Shell](https://phpsos.de/pl/compliance/bsi-empfehlungen/).

## Luka bezpieczeństwa PHP w TYPO3: sprawdzanie stanu PHP w backendzie

Administratorzy widzą wersję PHP w TYPO3 w dwóch miejscach: w informacjach o systemie na górnym pasku backendu oraz w **Admin Tools > Środowisko** (w nowszych wersjach w module System). TYPO3 sprawdza tam również, czy środowisko spełnia wymagania.

Naprawione wersje upstream to 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Wiele serwerów TYPO3 działa na dystrybucjach Linuksa, które dostarczają poprawki jako backport; wtedy numer wersji pozostaje taki sam. Rozstrzygające są stan pakietów i potwierdzenie operatora. To, które wersje PHP obsługuje Państwa wersja TYPO3, można sprawdzić w wymaganiach systemowych na typo3.org.

Wiele instalacji TYPO3 uruchamia ponadto Scheduler przez zadanie cron z PHP wiersza poleceń. To PHP CLI może być inną wersją niż PHP sieciowe i również musi być załatane. W razie wątpliwości proszę sprawdzić, jaka ścieżka PHP znajduje się w zadaniu cron. W konfiguracjach wieloserwerowych dotyczy to każdego serwera z osobna, także serwerów redakcyjnych i podglądowych, o których często się zapomina.

Na starszych serwerach urzędów PHP nadal często działa jako moduł Apache. Ten tryb pracy zespół PHP ocenia jako najwyższe ryzyko, a dlaczego tak jest, wyjaśnia artykuł [Dlaczego mod_php niesie najwyższe ryzyko](https://phpsos.de/pl/php2shell/mod-php-risiko/).

## Katalogi i konfiguracja w TYPO3

Struktura zależy od wersji i sposobu instalacji. Nowsze instalacje przez Composera oddzielają pliki publiczne od wewnętrznych, starsze instalacje klasyczne nie.

| Miejsce | Zawartość | Punkt kontroli |
|---|---|---|
| `config/system/settings.php` lub `typo3conf/LocalConfiguration.php` (starsze wersje) | Dane dostępowe do bazy danych, klucz szyfrowania, hasło Install Tool | Data zmiany, po podejrzeniu odnowić wartości |
| `fileadmin/` | Pliki redaktorów | Pliki PHP nie powinny tu leżeć |
| `typo3temp/` | Zapisywalne pliki tymczasowe | Nieoczekiwane pliki PHP |
| `typo3conf/ext/` lub `vendor/` | Rozszerzenia | Nieznane lub zmienione rozszerzenia |
| `var/log/` lub `typo3temp/var/log/` | Logi | Zabezpieczyć przed zmianami |

Bezpieczne kontrole w wierszu poleceń; ścieżki proszę dostosować do swojej instalacji:

```bash
# Pliki PHP w katalogach redaktorów i tymczasowych
find public/fileadmin public/typo3temp -type f -name "*.php"
# Czy gdzieś leży plik odblokowujący Install Tool?
find . -name "ENABLE_INSTALL_TOOL"
# Wyświetlenie aktywnych rozszerzeń (instalacja Composera)
vendor/bin/typo3 extension:list
```

> **Wskazówka:**
> Proszę zablokować wykonywanie PHP w `fileadmin` i `typo3temp` na poziomie serwera WWW. Dzięki temu webshell umieszczony w tych katalogach nie będzie przynajmniej bezpośrednio dostępny, nawet jeśli dostał się na serwer.

## Backend, Install Tool i rozszerzenia

Backend znajduje się pod `/typo3`. Proszę sprawdzić użytkowników backendu pod kątem nieznanych kont z uprawnieniami administratora oraz kont byłych pracowników lub agencji. TYPO3 zna dodatkowo „System Maintainers” z szczególnie daleko idącymi uprawnieniami w obszarze Admin Tools; lista ta powinna być bardzo krótka.

Install Tool ma własne hasło. W razie podejrzenia proszę je odnowić, podobnie jak klucz szyfrowania. Rozszerzenia z TYPO3 Extension Repository i własne rozwiązania to dodatkowy kod; zwłaszcza starsze własne rozwiązania często hamują aktualizację PHP. Proszę ustalić, jakich rozszerzeń naprawdę się potrzebuje.

## Co daje aktualizacja TYPO3, a czego nie

Aktualizacja TYPO3 zamyka znane błędy w rdzeniu, a aktualizacja rozszerzenia błędy w tym rozszerzeniu. Żadna z nich nie łata PHP, nie restartuje procesów i nie usuwa webshella z `fileadmin`. Także świeżo zaktualizowane TYPO3 może więc zawierać tylne drzwi z czasów sprzed poprawki. Dochodzi do tego, że przejście na nowszą wersję PHP może w starych wersjach TYPO3 wymagać aktualizacji TYPO3. Wtedy potrzebna jest ochrona przejściowa i harmonogram.

Dla podmiotów publicznych dochodzi dokumentacja. Proszę zapisać, kiedy poprawka została wprowadzona i kiedy nastąpił restart oraz jakie kontrole przeprowadzono z jakim wynikiem. Ułatwia to pytania bezpieczeństwa informacji, ochrony danych i kontroli finansowej. Także Państwa dostawca usług powinien potwierdzić te punkty na piśmie.

## Jak konkretnie pomaga PHP SOS?

- Ustalamy wersję PHP, tryb pracy i stan backportów na Państwa serwerze TYPO3 oraz prosimy o potwierdzenie restartu.
- Zabezpieczamy logi od 20.10.2026 oraz bieżący stan plików i bazy danych.
- Sprawdzamy `fileadmin`, `typo3temp`, konfigurację, rozszerzenia i konta backendu pod kątem nieprawidłowości.
- W ramach [utwardzania serwera](https://phpsos.de/pl/leistungen/server-haertung/) blokujemy wykonywanie PHP w folderach przesyłania i dokumentujemy stan dla Państwa bezpieczeństwa informacji.


## Częste pytania

**Czy muszę zaktualizować TYPO3 z powodu PHP2Shell?**  
Aktualizacja TYPO3 nie zamyka PHP2Shell, ponieważ luka leży w PHP serwera. TYPO3 warto jednak utrzymywać w aktualnej wersji. Na PHP2Shell potrzebna jest aktualizacja PHP lub potwierdzony backport oraz restart wszystkich procesów PHP.

**Gdzie w TYPO3 zobaczę wersję PHP?**  
Administratorzy widzą ją w informacjach o systemie na górnym pasku backendu oraz w sekcji Admin Tools w części Środowisko. Tego, czy wprowadzono backport, TYPO3 nie pokazuje; potwierdza to firma hostingowa lub administrator serwera.

**Czym jest plik ENABLE_INSTALL_TOOL?**  
Odblokowuje Install Tool, za pomocą którego można zmieniać centralne ustawienia. W normalnej pracy plik ten nie powinien istnieć. Jeśli zostanie znaleziony nieoczekiwanie, jest to powód do dokładniejszej kontroli.

**Czy urzędy korzystające z TYPO3 mają szczególne obowiązki?**  
Podmioty publiczne często opierają się na IT-Grundschutz BSI (niemieckim standardzie podstawowej ochrony IT) oraz na wytycznych swojego kraju związkowego. To, jakie obowiązki obowiązują w konkretnym przypadku, należy ustalić z pełnomocnikiem ds. bezpieczeństwa informacji i inspektorem ochrony danych.

## Źródła

- [php.net: komunikaty bezpieczeństwa](https://www.php.net/)
- [TYPO3](https://typo3.org/)
- [BSI IT-Grundschutz (podstawowa ochrona IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [BSI](https://www.bsi.bund.de/)