Kurz gesagt: Die TYPO3 PHP-Sicherheitslücke PHP2Shell betrifft nicht TYPO3 selbst, sondern das PHP darunter. Ein TYPO3-Update hilft deshalb nicht. Prüfen Sie PHP-Stand und Neustart, sperren Sie das Install Tool und kontrollieren Sie fileadmin, typo3temp und die installierten Extensions.
Warum TYPO3-Betreiber jetzt handeln sollten
TYPO3 ist in Deutschland bei Kommunen, Hochschulen, Verbänden und im Mittelstand verbreitet. Viele dieser Websites laufen seit Jahren stabil und werden nur selten angefasst. Genau das macht sie bei PHP2Shell anfällig: Die Lücken CVE-2026-109618 und CVE-2026-109619 liegen im PHP-Interpreter und erlauben laut PHP-Team Schadcode aus der Ferne ohne Anmeldung.
Das BSI hat Warnstufe 3 (Orange) ausgerufen und empfiehlt sofortiges Update. Ist das nicht möglich, sollen Webserver vorübergehend vom Netz. Eine Zusammenfassung der offiziellen Lage finden Sie unter Was das BSI zu PHP2Shell empfiehlt.
TYPO3 PHP-Sicherheitslücke: PHP-Stand im Backend prüfen
Administratoren sehen die PHP-Version in TYPO3 an zwei Stellen: in der Systeminformation in der oberen Leiste des Backends und unter Admin Tools > Umgebung (in neueren Versionen im Modul System). Dort prüft TYPO3 auch, ob die Umgebung zu den Anforderungen passt.
Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Viele TYPO3-Server laufen auf Linux-Distributionen, die Korrekturen als Backport ausliefern; dann bleibt die Versionsnummer gleich. Entscheidend sind Paketstand und Bestätigung des Betreibers. Welche PHP-Versionen Ihre TYPO3-Version unterstützt, prüfen Sie laut Systemanforderungen auf typo3.org.
Viele TYPO3-Installationen führen zudem den Scheduler über einen Cronjob mit dem Kommandozeilen-PHP aus. Dieses CLI-PHP kann eine andere Version sein als das Web-PHP und muss ebenso gepatcht sein. Prüfen Sie im Zweifel, welcher PHP-Pfad im Cronjob steht. Bei Mehrserver-Setups gilt das für jeden einzelnen Server, auch für Redaktions- und Vorschauserver, die oft vergessen werden.
Auf älteren Behördenservern läuft PHP oft noch als Apache-Modul. Diese Betriebsart stuft das PHP-Team als höchstes Risiko ein, warum, erklärt Warum mod_php das höchste Risiko trägt.
Verzeichnisse und Konfiguration in TYPO3
Die Struktur hängt von Version und Installationsart ab. Neuere Installationen über Composer trennen öffentliche und interne Dateien, ältere klassische Installationen nicht.
| Ort | Inhalt | Prüfpunkt |
|---|---|---|
config/system/settings.php bzw. typo3conf/LocalConfiguration.php (ältere Versionen) |
Datenbankzugang, Verschlüsselungsschlüssel, Install-Tool-Passwort | Änderungsdatum, Werte nach Verdacht erneuern |
fileadmin/ |
Dateien der Redakteure | PHP-Dateien gehören hier nicht hin |
typo3temp/ |
beschreibbare temporäre Dateien | unerwartete PHP-Dateien |
typo3conf/ext/ bzw. vendor/ |
Extensions | unbekannte oder veränderte Extensions |
var/log/ bzw. typo3temp/var/log/ |
Protokolle | vor Änderungen sichern |
Ungefährliche Prüfungen auf der Kommandozeile, Pfade bitte an Ihre Installation anpassen:
# PHP-Dateien in Redakteurs- und Temp-Verzeichnissen
find public/fileadmin public/typo3temp -type f -name "*.php"
# Liegt eine Freischaltdatei für das Install Tool herum?
find . -name "ENABLE_INSTALL_TOOL"
# Aktive Extensions anzeigen (Composer-Installation)
vendor/bin/typo3 extension:list
Verhindern Sie die Ausführung von PHP in fileadmin und typo3temp auf Webserver-Ebene. Damit wird eine dort abgelegte Webshell zumindest nicht direkt aufrufbar, auch wenn sie es auf den Server geschafft hat.
Backend, Install Tool und Extensions
Das Backend liegt unter /typo3. Prüfen Sie die Backend-Benutzer auf unbekannte Konten mit Administratorrechten und auf Konten ehemaliger Mitarbeiter oder Agenturen. TYPO3 kennt zusätzlich „System Maintainer“ mit besonders weitreichenden Rechten im Bereich Admin Tools; diese Liste sollte sehr kurz sein.
Das Install Tool hat ein eigenes Passwort. Nach einem Verdacht erneuern Sie es ebenso wie den Verschlüsselungsschlüssel. Extensions aus dem TYPO3 Extension Repository und Eigenentwicklungen sind zusätzlicher Code; gerade ältere Eigenentwicklungen bremsen häufig ein PHP-Upgrade aus. Erfassen Sie, welche Extensions wirklich gebraucht werden.
Was ein TYPO3-Update leistet und was nicht
Ein TYPO3-Update schließt bekannte Fehler im Core, ein Extension-Update Fehler in der Extension. Beides patcht nicht PHP, startet keine Prozesse neu und entfernt keine Webshell aus fileadmin. Auch ein frisch aktualisiertes TYPO3 kann also eine Hintertür aus der Zeit vor dem Patch enthalten. Kommt hinzu, dass ein Wechsel auf eine neuere PHP-Version bei alten TYPO3-Ständen ein TYPO3-Upgrade voraussetzen kann. Dann brauchen Sie einen Übergangsschutz und einen Zeitplan.
Für öffentliche Stellen kommt die Dokumentation hinzu. Halten Sie fest, wann der Patch eingespielt und wann neu gestartet wurde und welche Prüfungen mit welchem Ergebnis liefen. Das erleichtert Rückfragen von Informationssicherheit, Datenschutz und Rechnungsprüfung. Auch Ihr Dienstleister sollte Ihnen diese Punkte schriftlich bestätigen.
Wie hilft PHP SOS konkret?
- Wir stellen PHP-Version, Betriebsart und Backport-Stand Ihres TYPO3-Servers fest und lassen den Neustart bestätigen.
- Wir sichern Logs ab dem 20.10.2026 und den aktuellen Stand von Dateien und Datenbank.
- Wir prüfen
fileadmin,typo3temp, Konfiguration, Extensions und Backend-Konten auf Auffälligkeiten. - Im Rahmen der Server-Härtung sperren wir PHP-Ausführung in Upload-Ordnern und dokumentieren den Stand für Ihre Informationssicherheit.
Häufige Fragen
Muss ich wegen PHP2Shell TYPO3 aktualisieren?
Ein TYPO3-Update schließt PHP2Shell nicht, weil die Lücke im PHP des Servers liegt. Halten Sie TYPO3 trotzdem aktuell. Für PHP2Shell brauchen Sie ein PHP-Update oder einen bestätigten Backport und den Neustart aller PHP-Prozesse.
Wo sehe ich in TYPO3 die PHP-Version?
Administratoren sehen sie in der Systeminformation in der oberen Leiste des Backends und im Bereich Admin Tools unter Umgebung. Ob ein Backport eingespielt wurde, zeigt TYPO3 nicht; das bestätigt der Hoster oder Server-Admin.
Was ist die Datei ENABLE_INSTALL_TOOL?
Sie schaltet das Install Tool frei, mit dem sich zentrale Einstellungen ändern lassen. Im Normalbetrieb sollte die Datei nicht existieren. Findet sie sich unerwartet, ist das ein Grund für eine genauere Prüfung.
Gelten für Behörden mit TYPO3 besondere Pflichten?
Öffentliche Stellen orientieren sich häufig am BSI-IT-Grundschutz und an Vorgaben ihres Landes. Welche Pflichten im Einzelfall gelten, klären Sie mit Ihrem Informationssicherheits- und Datenschutzbeauftragten.