TYPO3 Erweiterungen mit Sicherheitslücke: So prüfen Sie, ob Ihre Website betroffen ist

Kurz gesagt: Am 20.10.2026 hat das TYPO3 Security Team Sicherheitshinweise zu neun Erweiterungen veröffentlicht, darunter shop, fluid_form, bw_captcha, sg_cookie_optin und fal_protect. Ob Ihre Website betroffen ist, finden Sie heraus, indem Sie die Liste Ihrer installierten Erweiterungen samt Versionsnummern mit diesen Hinweisen vergleichen. Die Entwickler haben korrigierte Versionen bereitgestellt, die Sie so bald wie möglich einspielen lassen sollten.

Was das TYPO3 Security Team am 20.10.2026 gemeldet hat

Das TYPO3 Security Team hat an diesem Tag neun Hinweise mit den Kennungen TYPO3-EXT-SA-2026-028 bis TYPO3-EXT-SA-2026-036 veröffentlicht. Betroffen sind diese Erweiterungen:

• fal_protect
• sg_cookie_optin
• bw_captcha
• analytics
• dlf (Kitodo.Presentation)
• fluid_form
• ameos_filemanager
• ns_t3ai
• shop

Zu jeder Erweiterung gibt es einen eigenen Hinweis. Darin stehen der Name der Erweiterung, der technische Paketname, die betroffenen Versionen, der Schweregrad und die Versionen, in denen der Fehler behoben ist. Eine Anleitung, wie man die Lücke ausnutzt, enthalten die Hinweise laut offizieller TYPO3-Dokumentation nicht. Sie richten sich an Betreiber und Dienstleister, damit diese gezielt handeln können.

Was sind Erweiterungen, und warum brauchen sie eigene Updates?

TYPO3 selbst ist das Grundgerüst Ihrer Website. Viele Funktionen kommen aber erst durch Erweiterungen (auch „Extensions“ genannt) hinzu: ein Onlineshop, ein Kontaktformular mit Datei-Upload, ein Cookie-Banner oder ein Captcha gegen Spam. Man kann sich das wie Apps auf einem Smartphone vorstellen.

Die neun gemeldeten Erweiterungen stammen von anderen Anbietern, nicht vom TYPO3-Projekt selbst. Das TYPO3 Security Team veröffentlicht die Hinweise, die korrigierten Versionen kommen aber von den jeweiligen Entwicklern. Jede Erweiterung hat deshalb ihre eigene Versionsnummer und ihre eigenen Updates. Ein Update von TYPO3 selbst bringt nicht automatisch neue Versionen Ihrer Erweiterungen mit. Beides muss getrennt geprüft werden.

Die korrigierten Versionen stehen laut den Hinweisen im TYPO3 Extension Manager, bei Packagist und auf extensions.typo3.org bereit. Welcher Weg für Ihre Website der richtige ist, hängt davon ab, wie sie eingerichtet wurde. Das weiß Ihr Dienstleister.

Die fünf wichtigsten Fälle im Überblick

Diese Tabelle fasst die fünf Erweiterungen zusammen, die bei kleinen Unternehmen, Praxen und Vereinen häufiger vorkommen dürften:

Was das für Sie bedeutet:

• shop: Betroffen sind nur Seiten mit dem Bestell-Plugin und nur Bestellungen, die noch nicht bezahlt sind. Bezahlte Bestellungen sind laut Hinweis nicht betroffen.
• fluid_form: Unbefugte konnten Dateien abrufen, die andere Besucher über ein Formular hochgeladen hatten. Außerdem ließ sich HTML in die Benachrichtigungs-E-Mail einschleusen. Wer über Formulare Bewerbungen, Fotos oder Unterlagen annimmt, sollte hier besonders schnell handeln.
• bw_captcha: Das Captcha ließ sich umgehen, sodass automatisierte Programme wie Spam-Bots es bestehen konnten.
• sg_cookie_optin: Hier ist der Schweregrad hoch. Die Lücken setzen ein angemeldetes Backend-Konto voraus. Betroffen sind unter anderem Einwilligungsdaten, gespeicherte Passwort-Hashes und Skripte, die auf der Website ausgeliefert werden. Das ist vor allem dort wichtig, wo mehrere Personen Zugang zum Backend haben, etwa in Vereinen.
• fal_protect: Geschützte Dateien in bestimmten Speicherorten konnten ohne Berechtigungsprüfung abgerufen werden. Ausnutzbar ist das nur, wenn Ihre Website mit TYPO3 14.3 läuft.

So prüfen Sie, ob Ihre Website betroffen ist

Sie müssen dafür keine Technik verstehen. Wichtig ist nur, dass Sie die richtigen Informationen zusammentragen und vergleichen:

1. TYPO3-Version herausfinden: Lassen Sie sich von Ihrem Dienstleister die genaue Versionsnummer nennen, zum Beispiel 13.4 oder 14.3. Oft steht sie auch in Ihren Wartungsunterlagen.
2. Liste der Erweiterungen anfordern: Bitten Sie um eine Liste aller installierten Erweiterungen mit Name und Versionsnummer. Eine einfache Tabelle reicht.
3. Namen vergleichen: Gleichen Sie die Liste mit den neun Namen oben ab. Taucht keiner davon auf, ist Ihre Website von diesen Hinweisen nicht betroffen.
4. Versionen vergleichen: Steht eine der Erweiterungen auf Ihrer Liste, prüfen Sie anhand der Tabelle oder des offiziellen Hinweises, ob Ihre Version im betroffenen Bereich liegt.
5. Update einspielen lassen: Liegt Ihre Version im betroffenen Bereich, sollte die korrigierte Version eingespielt werden. Vorher gehört eine aktuelle Datensicherung dazu.
6. Danach testen: Probieren Sie nach dem Update die betroffenen Funktionen aus. Schicken Sie ein Testformular ab, prüfen Sie das Cookie-Banner oder legen Sie eine Testbestellung an.

Tipp: Bewahren Sie die Liste der Erweiterungen auf. Beim nächsten Sicherheitshinweis können Sie dann in wenigen Minuten selbst nachsehen, ob Sie betroffen sind.

Diese Fragen stellen Sie Ihrem Dienstleister

Wenn eine Agentur oder ein Freelancer Ihre Website betreut, können Sie diese Fragen direkt per E-Mail stellen:

• Welche TYPO3-Version läuft auf unserer Website?
• Welche Erweiterungen sind installiert, und in welcher Version?
• Ist eine der Erweiterungen aus den Hinweisen TYPO3-EXT-SA-2026-028 bis 036 dabei?
• Wurden die korrigierten Versionen bereits eingespielt, und wann?
• Wie werden wir künftig über neue Sicherheitshinweise informiert?

Bekommen Sie keine klare Antwort oder gibt es niemanden mehr, der sich zuständig fühlt, sollten Sie das nicht aufschieben. Ich übernehme solche Prüfungen im Rahmen von TYPO3 Wartung und Support und halte Ihre Erweiterungen dauerhaft auf dem aktuellen Stand.

Upload-Formulare: Das TYPO3-Update 14.3.9 vom 13.10.2026

Eine Woche vor den Hinweisen zu den Erweiterungen ist TYPO3 14.3.9 LTS erschienen. Dieses Sicherheitsupdate behebt einen Fehler im Formular-Baukasten von TYPO3 selbst (Hinweis TYPO3-CORE-SA-2026-024, Schweregrad Mittel).

Betroffen sind die TYPO3-Versionen 14.0.0 bis 14.3.8, und zwar nur Formulare mit Datei- oder Bild-Upload, bei denen ein eigener Speicherort eingestellt ist. Die hochgeladenen Dateien landeten trotzdem im Standardordner „user_upload“ und konnten dadurch öffentlich abrufbar sein, obwohl ein geschützter Speicher eingestellt war. Formulare mit der Standardeinstellung sind nicht betroffen. Andere Hauptversionen wie TYPO3 13 nennt der Hinweis nicht als betroffen.

Die Lösung ist das Update auf 14.3.9 LTS. Datenbank-Upgrades sind laut TYPO3 nicht nötig, empfohlen wird aber, danach die Datenbankanalyse auszuführen. Inzwischen gibt es mit 14.3.10 bereits eine neuere Wartungsversion. Lassen Sie Ihre Website am besten auf den jeweils aktuellen Stand bringen.

Nehmen Sie über Formulare vertrauliche Unterlagen an, etwa Bewerbungen oder Befunde, lassen Sie zusätzlich prüfen, ob solche Dateien im öffentlichen Ordner liegen. Waren personenbezogene Daten möglicherweise frei abrufbar, empfehle ich, sich rechtlich beraten zu lassen, zum Beispiel durch eine Anwältin, einen Anwalt oder Ihre Datenschutzbeauftragten. Welche TYPO3-Versionen derzeit noch Sicherheitsupdates bekommen, lesen Sie in meinem Ratgeber TYPO3 Update 2026: Welche Version ist noch sicher?

Nicht vergessen: PHP und die TYPO3-Version

Erweiterungen sind nur ein Baustein. Zwei weitere Punkte gehören zur gleichen Prüfung:

• PHP: Am 21.10.2026 hat TYPO3 einen Hinweis (TYPO3-PSA-2026-001) veröffentlicht: Wegen zwei kritischer Lücken in PHP sollen alle TYPO3-Nutzer PHP sofort aktualisieren. TYPO3 selbst ist davon nicht betroffen. Was Sie dazu tun sollten, erkläre ich im Ratgeber PHP-Sicherheitslücken „php2shell“.
• TYPO3-Version: Sicherheitsupdates gibt es für die aktuelle und die vorherige LTS-Version, derzeit also TYPO3 14 und 13. Innerhalb von Version 14 bekommen die Versionen 14.0 bis 14.2 keine Sicherheitsupdates mehr.

Haben Sie den Verdacht, dass Ihre Website bereits missbraucht wurde, etwa weil plötzlich fremde Inhalte erscheinen oder Spam verschickt wird, finden Sie Unterstützung unter Hilfe bei gehackter Website.

Quellen

• TYPO3 Security Advisories (news.typo3.com)
• TYPO3 Talk: Vulnerabilities in multiple third-party TYPO3 CMS extensions
• TYPO3-EXT-SA-2026-028 (fal_protect)
• TYPO3-EXT-SA-2026-029 (sg_cookie_optin)
• TYPO3-EXT-SA-2026-030 (bw_captcha)
• TYPO3-EXT-SA-2026-033 (fluid_form)
• TYPO3-EXT-SA-2026-036 (shop)
• TYPO3-CORE-SA-2026-024 (Form Framework)
• TYPO3 14.3.9 Security Release
• TYPO3 News
• TYPO3 Dokumentation: Security und unterstützte Versionen

Dieser Artikel gibt den Stand vom 28.10.2026 wieder.