TYPO3 Sicherheit: Sicherheitslücken 2026, Pflichten und Checkliste

TYPO3 ist sicher, solange die Installation und ihre Umgebung gepflegt werden. Automatisch sicher ist das System nicht: Entscheidend sind Pflege, Konfiguration und Betrieb. Die Sicherheit Ihrer Website hängt von drei Bereichen ab. Beim Core zählt, dass er auf einer Version läuft, für die das TYPO3 Security Team noch Korrekturen liefert. Extensions benötigen ebenfalls regelmäßige Updates. Zum Betrieb gehören die PHP-Umgebung, ein abgesichertes Backend und Backups. Rund drei Viertel aller TYPO3-Websites laufen im Herbst 2026 auf Versionen ohne kostenlose Sicherheitsupdates.

Neue TYPO3-Sicherheitslücken erfahren Sie über die Advisories des TYPO3 Security Teams. Fix und Advisory erscheinen gemeinsam als Security-Release, meist planmäßig dienstags zwischen 9 und 12 Uhr UTC. Für v14 sind der 13.10.2026, 10.11.2026 und 08.12.2026 vorgesehen. Wichtige Lücken werden vorab angekündigt, dringende erscheinen ohne Vorwarnung. So bleiben Sie auf dem Laufenden: Abonnieren Sie den Advisory-Feed, prüfen Sie Ihren Patch-Stand in den Systeminformationen des Backends, beachten Sie die Extension-Advisories (EXT-SA) und planen Sie eine monatliche Patch-Runde ein.

Ein TYPO3 Security Advisory ist die offizielle Sicherheitsmeldung des TYPO3 Security Teams zu einer Schwachstelle. Eine gemeldete Lücke wird zunächst vertraulich behandelt. Nach dem Prinzip „minimal disclosure“ erscheint das Advisory erst, wenn eine Korrektur existiert, und zwar zusammen mit dem Security-Release.

Ein Advisory enthält in der Regel:

• die betroffenen Versionen,
• den Schweregrad nach CVSS,
• die CVE-Kennung,
• die Fix-Version, mit der die Lücke geschlossen wird.

Advisories gibt es für den Core (SA-Nummern) und für Extensions (EXT-SA-Nummern).

Das TYPO3 Security Team liefert Korrekturen nur für gepflegte Versionen. Stand 9. Oktober 2026 gilt:

• TYPO3 14 LTS: kostenlose Sicherheitsupdates bis 30.06.2029.
• TYPO3 13.4: kostenlose Sicherheitsupdates bis 31.12.2027.
• TYPO3 12.4, 11.5 und 10.4: Korrekturen nur über das kostenpflichtige ELTS.
• TYPO3 9.5 und älter: keine Pflege mehr.

Sprint Releases (14.0 bis 14.2) werden nur bis zum nächsten Sprint Release unterstützt und sind nicht für Produktivsysteme gedacht. Extensions werden separat über EXT-SA-Advisories behandelt.

Sicherheitsreleases sollten Sie binnen 48 Stunden einspielen. Der Grund: Mit der Veröffentlichung eines Advisories sind die Lücken öffentlich bekannt, und ungepatchte Systeme werden dadurch angreifbar. Planmäßige Releases erscheinen meist dienstags, dringende Lücken dagegen ohne Vorwarnung, daher sollten Sie kurzfristig reagieren können. Der Aufwand ist gering: Patch-Updates enthalten nur Bugfixes und Sicherheitskorrekturen, keine Breaking Changes. Mit Tests dauern sie Minuten bis wenige Stunden. Core und Extensions gehören beide in die Patch-Runde. Möglich ist das Update nur auf einer gepflegten Version, bei älteren Versionen nur mit ELTS.

Im Jahr 2026 gab es Stand 9. Oktober 2026 vier Veröffentlichungstermine mit Sicherheitslücken:

• 13.01.2026: 4 Advisories (SA-2026-001 bis -004) für v10 bis v14, drei davon zur Backend-Zugriffskontrolle; als High eingestuft: das Recycler-Modul.
• 09.06.2026: 14 Advisories, davon 5 High, u. a. Form Framework, File Abstraction Layer und Media-Modul (v10 bis v14).
• 25.08.2026: 8 Extension-Advisories (EXT-SA-2026-020 bis -027) zu powermail, solr, femanager und sf_event_mgt, u. a. Template Injection, SQL-Injection und Broken Access Control.
• 08.09.2026: SA-2026-023 (High, fehlende Autorisierung in lowlevel commands) und SA-2026-022 (Information Disclosure).

Aktuelle Patch-Versionen sind 14.3.7, 13.4.35 und 12.4.49 (nur mit ELTS).

TYPO3 ELTS (Extended Long Term Support) ist die kostenpflichtige Überbrückung für Versionen, deren kostenlose Pflege ausgelaufen ist. Sie liefert weiterhin Sicherheitskorrekturen, sodass Lücken aus Advisories auch in älteren Versionen geschlossen werden. Die Laufzeiten: TYPO3 12.4 bis 30.04.2029, mit Partnerjahr bis 30.04.2030; TYPO3 11.5 bis 31.10.2028; TYPO3 10.4 bis 30.04.2027. Für TYPO3 12 gibt es die Korrekturen aktueller Advisories daher nur mit ELTS. ELTS verschafft Zeit für die Migrationsplanung, ersetzt das Versionsupdate aber nicht.

Ein veröffentlichtes Advisory verrät Angreifern, welche Systeme verwundbar sind, sodass sie nicht mehr selbst nach Schwachstellen suchen müssen. Mehrere Faktoren machen es zur Anleitung. Der Fix zeigt, wo der Fehler im Code lag: Aus dem Vergleich von alter und neuer Version lässt sich die Lücke nachvollziehen. Websites sind aus dem Internet sichtbar, daher lassen sich Installationen mit ungepatchten Versionen gezielt finden. Wer nicht patcht, bleibt angreifbar. Besonders gefährdet sind Systeme ohne Sicherheitsupdates, etwa TYPO3 12 ohne ELTS. Wer Sicherheitsreleases zeitnah einspielt, entzieht diesem Vorgehen die Grundlage.

PHP-Version und Hosting bilden die Basis der TYPO3 Sicherheit, denn Core-Updates helfen wenig, wenn die Umgebung darunter ungepatcht ist. TYPO3 benötigt eine PHP-Version mit Sicherheitsupdates. PHP 7.4, 8.0 und 8.1 sind außer Support, PHP 8.2 erhält Updates nur noch bis 31.12.2026.

• Empfehlung: PHP 8.4 oder 8.5. TYPO3 13 und 14 unterstützen PHP 8.2 bis 8.5.
• TYPO3 12: maximal PHP 8.4, da PHP 8.5 inkompatibel ist.
• Hosting: Manche Hoster stellen alte PHP-Versionen ein oder verlangen dafür Aufpreise.
• Reihenfolge: Vor einem TYPO3-Update zuerst PHP auf die höchste unterstützte Version anheben und stabilisieren.

Extensions erweitern die Angriffsfläche Ihrer Website, denn die Sicherheit hängt nicht nur vom Core ab. Auch Drittanbieter-Extensions können Schwachstellen enthalten, und jede zusätzlich installierte Erweiterung vergrößert das Risiko. Pflegen Sie Extensions deshalb in der Patch-Runde zusammen mit dem Core. Beachten Sie außerdem, dass Extensions für alte TYPO3-Versionen oft nicht mehr gepflegt werden. Prüfen Sie Ihre installierten Extensions regelmäßig gegen veröffentlichte EXT-SA-Advisories.

Die 72-Stunden-Frist nach Art. 32/33 DSGVO greift, wenn ein Sicherheitsvorfall zu einer Verletzung des Schutzes personenbezogener Daten führt, etwa wenn Angreifer über eine ungepatchte TYPO3-Lücke Kundendaten, Formulareinträge oder Backend-Benutzerdaten abgreifen. Die Meldung an die Aufsichtsbehörde soll möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Bei Verzögerung sind die Gründe anzugeben. Besteht voraussichtlich ein hohes Risiko, sind auch die Betroffenen unverzüglich zu benachrichtigen. Für erfasste Einrichtungen können zusätzlich Meldepflichten nach NIS2 gelten. Lassen Sie Ihre Pflichten im Einzelfall rechtlich prüfen.

Das hängt von Ihrem Unternehmen ab, nicht von TYPO3. NIS2 gilt für besonders wichtige und wichtige Einrichtungen in 18 Sektoren. Als Faustregel sind mittlere Unternehmen ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz erfasst, kleine nur in Ausnahmefällen. Das deutsche Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Ihre Website gehört zur IT-Landschaft, daher dienen Patch-Management und dokumentierte Updates als Nachweis.

• Die Geschäftsleitung haftet persönlich für die Umsetzung (§ 38 BSIG).
• Bußgelder: bis 10 Mio. € bzw. 2 % des Jahresumsatzes, bei wichtigen Einrichtungen bis 7 Mio. € bzw. 1,4 %.
• Meldekette bei Vorfällen: 24 Stunden Frühwarnung, 72 Stunden Meldung, ein Monat Abschlussbericht.

Das ist keine Rechtsberatung; lassen Sie Ihre Betroffenheit frühzeitig prüfen.

Eine praxistaugliche Sicherheits-Checkliste für TYPO3-Betreiber umfasst diese Punkte. Version: den Core auf einem gepflegten Zweig betreiben, sonst einen ELTS-Vertrag abschließen. Updates: Core und Extensions regelmäßig patchen. PHP: eine Version mit Sicherheitsupdates nutzen. Backend: starke Passwörter, MFA, IP-Beschränkung oder VPN, minimale Admin-Rechte. Install Tool: nur bei Bedarf aktivieren, danach ENABLE_INSTALL_TOOL löschen. Härtung: HTTPS, Security-Header, aktuelle .htaccess-Vorlage, restriktive Formular-Uploads. Backups: Datenbank und Dateien täglich sichern, Restore testen. Monitoring: Logs, Reports-Modul und Verfügbarkeit überwachen. Dokumentation: Wartung und Updates festhalten.

Ein TYPO3 Security Audit der IllusionFACTORY® prüft die technische Basis und die Konfiguration Ihrer Installation. Im Fokus stehen:

• TYPO3-Version samt Patch-Stand: Wird der Core noch gepflegt, und sind alle Sicherheitsreleases eingespielt?
• Installierte Extensions: Abgleich mit veröffentlichten EXT-SA-Advisories.
• PHP-Version: Erhält sie Sicherheitsupdates, und passt sie zur TYPO3-Version?
• Konfiguration: Backend, Install Tool und Dateirechte.

Dahinter stehen eigene TYPO3-Entwickler, die seit 30 Jahren im Geschäft sind. Einen ersten Anhaltspunkt liefert die Online-Versionsprüfung: Sie geben Ihre Domain ein, und das Modul erkennt die TYPO3-Hauptversion.

Ja, als Einzelmaßnahme ist das Update auf TYPO3 14 LTS die wirksamste. Keine andere gepflegte Version erhält so lange kostenlose Sicherheitsupdates. Wer TYPO3 12, 11 oder 10 betreibt, schließt damit offene Lücken dauerhaft, statt laufende ELTS-Kosten zu tragen. Das Update ersetzt aber nicht die laufende Pflege: Patches, eine aktuelle PHP-Version, gepflegte Extensions und ein abgesichertes Backend bleiben nötig. Kosten: Die IllusionFACTORY® bietet das Versionsupdate als Aktionspreis je Ausgangsversion ab 1.200 € zzgl. MwSt. an. Den Endpreis nennen wir nach individueller Prüfung Ihrer Installation. Je nach Vorhaben kann unter Umständen eine Förderung in Frage kommen; das klären wir in der Beratung.