TYPO3-Website nicht erreichbar: Was Betreiber prüfen lassen

TYPO3 hat am 21. Oktober einen eigenen Hinweis veröffentlicht (TYPO3-PSA-2026-001). Die Kernaussagen: Die Lücken stecken in PHP und betreffen jeden Server mit einer PHP-Anwendung. Laut TYPO3 ist kein TYPO3-Update nötig, nur PHP muss aktualisiert werden. Läuft TYPO3 11 oder 12 noch mit PHP 8.1, auch mit ELTS, soll auf PHP 8.2 oder neuer gewechselt werden. Für TYPO3 10 mit ELTS, das nur bis PHP 7.4 läuft, rät TYPO3 zu kommerziellen PHP-Sicherheitsupdates, etwa über Ubuntu Pro.

Die ersten Schritte sind dieselben wie bei jeder anderen Website: Hinweise des Hosters prüfen, Domain und Zertifikat kontrollieren, einen Ausfall von Spuren eines Angriffs unterscheiden. Die Anleitung dazu steht im Beitrag WordPress-Website offline: Was tun?, sie gilt für TYPO3 genauso.

Typisch für TYPO3: Zeigt die Website statt Inhalten «Oops, an error occurred!», ist beim Aufbau der Seite ein Fehler aufgetreten. Die Einzelheiten stehen im Protokoll von TYPO3, bei klassischen Installationen im Ordner typo3temp/var/log, bei Installationen mit Composer im Ordner var/log. Eine weisse Seite oder ein Fehler 500 nach einem Wechsel der PHP-Version kann auf eine Extension hindeuten, die mit der neuen Version nicht zurechtkommt. Eine Hinweisseite des Hosters oder ein Fehler 503 spricht für eine Abschaltung.

Danach kommt die Frage, die bei TYPO3 den Ausschlag gibt: Welche Version läuft, und mit welcher PHP-Version kann sie laufen?

TYPO3 bringt alle 18 Monate eine Version mit Langzeitsupport heraus, eine sogenannte LTS-Version. Jede LTS-Version von TYPO3 wird rund drei Jahre lang kostenlos gepflegt. Danach bietet die TYPO3 GmbH gegen Gebühr einen verlängerten Support an, den Extended Long Term Support, kurz ELTS. So sieht es heute aus:

TYPO3 10 läuft auch mit dem kostenpflichtigen ELTS offiziell nur mit PHP 7.2 bis 7.4. TYPO3 weist selbst darauf hin, dass ELTS nur die genannten PHP-Versionen unterstützt, und rät, deren Supportende im Blick zu behalten.

Das PHP-Projekt hat die Lücken in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 geschlossen. Für PHP 8.1 und älter gibt es keine regulären Updates, für 7.4, 8.0 und 8.1 nur minimale Korrekturen im Quellcode, dazu eigene Korrekturen einzelner Anbieter. Daraus folgt:

• TYPO3 13 und 14: Für jede unterstützte PHP-Version gibt es eine Korrektur. Spielt der Hoster sie ein und startet die PHP-Dienste neu, sind diese Lücken geschlossen.
• TYPO3 12: unterstützt PHP 8.1 bis 8.4, davon haben 8.2, 8.3 und 8.4 eine Korrektur. Liegt die Website noch auf PHP 8.1, ist ein Wechsel auf 8.2 oder neuer innerhalb der Vorgaben von TYPO3 möglich. Sicherheitskorrekturen für TYPO3 12 selbst gibt es seit Mai 2026 nur noch über ELTS.
• TYPO3 11: läuft offiziell bis PHP 8.3, also auch mit den korrigierten Versionen 8.2.35 und 8.3.36. Ob alle Extensions mitmachen, muss Ihr Dienstleister prüfen. Korrekturen für TYPO3 11 gibt es nur noch über ELTS.
• TYPO3 10 und älter: laufen offiziell nur mit PHP 7 oder älter. Dafür gibt es vom PHP-Projekt keine regulären Updates. Als Übergang nennt TYPO3 kommerzielle Sicherheitsupdates für das alte PHP, auf Dauer braucht es ein Upgrade von TYPO3 oder eine neue Website.

Eine TYPO3-Version, die nur mit PHP 7 oder älter läuft, kann auf keine der am 21. Oktober korrigierten PHP-Versionen wechseln.

Bitten Sie Ihren Dienstleister, diese Punkte zu prüfen und Ihnen das Ergebnis schriftlich zu geben:

1. TYPO3-Version mit Patch-Stand, zum Beispiel 13.4.36, und ob sie kostenlos gepflegt wird, über ELTS läuft oder gar keine Updates mehr bekommt.
2. PHP-Version im Betrieb. Die laufende Version zeigt das TYPO3-Backend in der Werkzeugleiste unter System Information. Gefragt ist die Version für die Website und für zeitgesteuerte Aufgaben wie den Scheduler, denn beides kann auf unterschiedlichen PHP-Versionen laufen. Dazu gehört die Bestätigung des Hosters, dass die Korrektur eingespielt ist und die PHP-Dienste neu gestartet wurden.
3. Installationsart. TYPO3 läuft im Composer-Modus oder im klassischen Modus ohne Composer. Im Composer-Modus halten die Dateien composer.json und composer.lock fest, welche Versionen installiert sind. Für Upgrades auf eine neue Hauptversion empfiehlt TYPO3, eine klassische Installation zuerst auf Composer umzustellen.
4. Extensions. Eine Liste aller Erweiterungen mit Version: Sind sie für die eingesetzte TYPO3- und PHP-Version freigegeben, werden sie noch gepflegt? TYPO3 veröffentlicht laufend Sicherheitshinweise zu Extensions, allein am 20. Oktober 2026 neun. Sie betreffen andere Fehler als die PHP-Lücke, gehören aber in dieselbe Prüfung.
5. Protokolle. Auffälligkeiten mindestens seit dem 20. Oktober: ungewöhnliche Anfragen, Abstürze, veränderte Dateien, unerwartete Prozesse. Ein Update entfernt keinen Eindringling, der schon im System ist.
6. Sicherung. Eine aktuelle, geprüfte Sicherung von Dateien und Datenbank vor jeder Änderung. Das ist unsere Empfehlung, keine Vorgabe der Behörden.
7. Zugänge. Wer hat Zugriff auf Backend, Install Tool, Server und Domain? Diese Zugänge sollten auf Ihre Firma lauten.

Bei TYPO3 13 und 14 genügen in der Regel das PHP-Update des Hosters und die laufende Pflege. Bei TYPO3 11 und 12 verschafft ELTS Zeit, ersetzt aber nicht die Planung des nächsten Schritts: ein Upgrade auf TYPO3 13 oder 14. Wie TYPO3 dabei vorgeht, steht in den Fragen unten.

Bei TYPO3 10 und älter steht die Entscheidung jetzt an. Ein Upgrade über mehrere Hauptversionen kann aufwendig werden, besonders mit vielen eigenen Extensions, denn eigene Erweiterungen und das Design-Paket müssen laut TYPO3 eigens angepasst werden. Dann lohnt der Vergleich mit einer neuen Website. Kriterien dafür stehen im Beitrag WordPress oder TYPO3 ablösen. Ein Wechsel weg von TYPO3 ist dafür nicht nötig: TYPO3 13 und 14 sind aktuelle Versionen mit kostenloser Pflege bis Ende 2027 und Mitte 2029.

Die Frascati GmbH aus Allschwil bei Basel begleitet KMU in der Schweiz und in Deutschland bei der Entscheidung über ihre Website. Wir gehen die Checkliste mit Ihnen und Ihrem Dienstleister durch, ordnen die Antworten ein und zeigen, ob sich ein Upgrade oder ein Website-Relaunch mehr lohnt.

Ist TYPO3 selbst von der PHP-Lücke betroffen?

Nein, die Lücke liegt in PHP und ist nicht TYPO3-spezifisch. Weil TYPO3 auf PHP läuft, braucht aber jede TYPO3-Website eine korrigierte PHP-Version auf dem Server. Ein Update von TYPO3 oder den Extensions schliesst die Lücke nicht.

Was ist TYPO3 ELTS?

ELTS steht für Extended Long Term Support. Nach dem Ende der kostenlosen Pflege liefert die TYPO3 GmbH damit gegen Gebühr weiter Sicherheits- und Kompatibilitätsupdates, für bis zu drei Jahre. Ein viertes Jahr gibt es nur über offizielle TYPO3-Partner.

Läuft TYPO3 10 mit PHP 8?

Offiziell nicht. TYPO3 10 unterstützt PHP 7.2 bis 7.4, auch mit ELTS. Bis zum Wechsel braucht das alte PHP Korrekturen von anderer Seite: TYPO3 empfiehlt kommerzielle Sicherheitsupdates, etwa über Ubuntu Pro, und manche Hoster haben für PHP 7.4 eigene Korrekturen eingespielt. Beides ist nur eine Überbrückung. Für eine aktuelle PHP-Version braucht es ein Upgrade von TYPO3 oder eine neue Website.

Wie gehen wir bei einem Upgrade von TYPO3 11 oder 12 vor?

TYPO3 rät, zuerst PHP auf die höchste Version anzuheben, die die bisherige TYPO3-Version unterstützt, und alles zu testen. Danach wird TYPO3 selbst aktualisiert, und jede Extension braucht eine passende Version. Gearbeitet wird auf einer Kopie der Website samt Datenbank, nie direkt auf dem Live-System.

Müssen wir von TYPO3 auf ein anderes System wechseln?

Nein. TYPO3 13 und 14 werden kostenlos bis Ende 2027 und Mitte 2029 gepflegt. Ob ein Systemwechsel sinnvoll ist, hängt von Ihren Anforderungen und vom Aufwand ab, nicht von der PHP-Lücke.

Sie möchten wissen, was Ihre TYPO3-Version jetzt braucht? Vereinbaren Sie einen Termin, wir gehen die Punkte mit Ihnen durch.