Fehlende Berechtigungsprüfung bei Systembefehlen
Die Sicherheitslücke betrifft die Systemkonfiguration der TYPO3-Erweiterung lowlevel. Backend-Benutzer mit Administratorrechten, aber ohne die Rolle eines System Maintainers, konnten über den TYPO3-Scheduler bestimmte Konfigurationsbefehle ausführen.
Betroffen waren die Befehle:
configuration:readconfiguration:setconfiguration:show
Dadurch konnten solche Benutzer beliebige systemweite Einstellungen verändern. Im schlimmsten Fall war es möglich, sich selbst System-Maintainer-Rechte zu verschaffen oder die Verfügbarkeit der TYPO3-Installation zu beeinträchtigen.
Für einen Angriff ist allerdings bereits ein Backend-Benutzerkonto mit Administratorrechten erforderlich. Die Schwachstelle ist daher nicht ohne vorherigen Zugriff auf das TYPO3-Backend ausnutzbar.
Welche TYPO3-Versionen sind betroffen?
Von der unter CVE-2026-85400 geführten Schwachstelle sind laut TYPO3 Security Team folgende Versionen betroffen:
TYPO3 14.2.0 bis einschließlich TYPO3 14.3.6
Die Sicherheitslücke wurde mit TYPO3 14.3.7 LTS geschlossen. Ihre Schwere wird als hoch eingestuft.
Was ist jetzt zu tun?
Betreiber einer betroffenen TYPO3-Installation sollten möglichst kurzfristig auf TYPO3 14.3.7 LTS aktualisieren. Nach dem Update ist keine zusätzliche Datenbankmigration erforderlich. TYPO3 empfiehlt jedoch, anschließend den Datenbank-Analyzer auszuführen, da die neue Version auch Optimierungen für die Datenbankstruktur enthält.
Zusätzlich sollten bestehende Scheduler-Aufgaben überprüft werden: Tasks, die einen der genannten configuration:*-Befehle ausführen, funktionieren nach dem Sicherheitsupdate nicht mehr. Automatisierte Änderungen an der Systemkonfiguration müssen künftig auf einem anderen Weg umgesetzt werden – beispielsweise über einen individuell eingerichteten Cronjob.
Unsere Empfehlung
Auch wenn für die Ausnutzung bereits ein privilegiertes Backend-Konto benötigt wird, sollte das Risiko nicht unterschätzt werden. Gerade bei Installationen mit mehreren Administratoren oder externen Dienstleistern kann die fehlende Berechtigungsprüfung erhebliche Auswirkungen haben.
Wir empfehlen daher: