PHP2Shell und Node.js-Patches: Warum Ihre TYPO3-Website gestern Abend schon sicher war

Am Dienstag, den 20. Oktober, sickerten Details zu zwei Schwachstellen im PHP-Interpreter durch, noch vor der koordinierten Veröffentlichung. Am 21. Oktober erschienen die Notfall-Updates für CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet, beide erlauben einem nicht authentifizierten Angreifer, Code auf dem Webserver auszuführen. Die Lücken laufen inzwischen unter dem Namen PHP2Shell. Der Sicherheitsforscher Kevin Beaumont nennt es eine der größten Schwachstellen seit Jahren, und Cloudflare meldet bereits erste Angriffsversuche vor der Veröffentlichung des Patches. Major security alert: PHP vulnerable to critical RCE, attacks ongoing - Patchstack +3

Das Problem liegt nicht in TYPO3. Die Fehler stecken im PHP-Interpreter selbst, nicht in einer bestimmten Anwendung, deshalb ist jede Website auf einer verwundbaren PHP-Version betroffen. Eine aktuelle TYPO3-Version, saubere Extensions, Composer-Setup: All das hilft hier nicht, wenn darunter ein ungepatchtes PHP läuft. Betroffen sind alle Versionen von PHP 5.6 bis 8.5.11, also praktisch jede TYPO3-Installation, die irgendwo im Netz steht. Jede PHP-Installation, die Web-Requests verarbeitet, ist betroffen, einschließlich PHP-FPM, Apache mit mod_php und php-cgi. Major security alert: PHP vulnerable to critical RCE, attacks ongoing - Patchstack +2

Wir haben am 20. Oktober die Vorankündigung des PHP-Teams gesehen und die Wartungsfenster vorbereitet. Als die Patches am Mittwochnachmittag verfügbar waren, haben wir alle von uns betriebenen TYPO3-Systeme auf die korrigierten PHP-Versionen gebracht. Die Fixes stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer bei uns auf einer älteren PHP-Reihe läuft, ist auf die Backports der Distributionen umgezogen oder wurde im gleichen Schritt auf eine unterstützte Version gehoben. Stand Mittwochabend war keine unserer Installationen mehr verwundbar. helpnetsecurity

Am selben Tag kam das zweite Paket: Node.js hat Sicherheitsupdates für die Reihen 26.x, 24.x und 22.x veröffentlicht, die zehn Schwachstellen schließen, darunter vier als hoch eingestufte Fehler bei DNS-Abfragen, TLS-Zertifikatsprüfung und Brotli-Dekompression. Für TYPO3-Projekte ist Node.js meist nur Werkzeug im Frontend-Build, nicht Laufzeit im Produktivbetrieb. Trotzdem relevant: Wer Container oder Snapshots nutzt, die die Runtime einbetten, soll diese laut Advisory nicht nur updaten, sondern neu bauen. Unsere Build-Pipelines und Container-Images sind entsprechend auf Node.js 26.12.1, 24.22.1 beziehungsweise 22.23.4 umgestellt. Die beiden TLS-Lücken (Hostname-Prüfung lässt sich über Fullwidth-Ziffern und lockere IP-Auflösung umgehen) betreffen Systeme, die aus Node heraus TLS-Verbindungen aufbauen, etwa SSR-Setups oder API-Proxies. Auch die sind durch. Node.js Releases Security Updates to Fix High-Severity TLS, DNS, and Brotli Vulnerabilities +3

Wenn Sie TYPO3 nicht bei uns hosten: Prüfen Sie heute, nicht nächste Woche, welche PHP-Version Ihr Server ausliefert. Updaten ist die einzige vollständige Lösung, ein WAF-Regelwerk verschafft höchstens Zeit. Das britische NCSC rät sogar, Systeme vom Netz zu nehmen, die sich nicht sofort patchen lassen. Ihr Hoster sollte Ihnen innerhalb von Minuten sagen können, wo er steht. Kann er das nicht, ist das selbst schon eine Antwort.

Fragen dazu beantworten wir gern direkt.

‍

‍