TYPO3-CORE-SA-2025-020: Sicherheitslücke im FAL – was Agenturen jetzt tun sollten
10.09.2025Im TYPO3-Kern wurde eine Schwachstelle mit mittlerer Kritikalität im File Abstraction Layer bekannt, die unter bestimmten Fehlerbedingungen interne Pfade offenlegt. Für Agenturen mit mehreren Mandanten erhöht dies das Reconnaissance-Risiko; empfohlen sind ein sofortiges Core-Update auf die abgesicherten LTS/ELTS-Versionen, restriktive Backend-Rollen sowie stringent geregeltes Fehler- und Log-Handling. JAR Media übernimmt das risikominimierte Update und das laufende Lifecycle-Management: Mit der TYPO3-Update-Flatrate halten wir Instanzen dauerhaft aktuell – für 300 € monatlich; initial fallen für bestehende Systeme 3.600 € je Major-Sprung an (z. B. v10→v12 = 7.200 €). Das Angebot richtet sich ausschließlich an Agenturen, Reseller und Betreiber in Deutschland; wir arbeiten agil und auf Wunsch auch in Teilprojekten.
Im TYPO3-Kern wurde eine Schwachstelle im File Abstraction Layer (FAL) bekannt, die unter bestimmten Fehlerbedingungen Dateipfade offenlegt. Das kann interne Verzeichnisstrukturen sichtbar machen und Angreifern wertvolle Hinweise für weitere Angriffe liefern. Ein erfolgreicher Missbrauch setzt einen gültigen Backend-Zugang mit niedrigen Privilegien voraus. Die Einstufung der Kritikalität ist „mittel“.
Auswirkungen in der Praxis für Agenturen und Site-Betreiber
Für Agenturen, die mehrere Mandanten oder Kundenprojekte betreuen, ist die Leckage von Serverpfaden besonders heikel: Sie begünstigt Reconnaissance, erleichtert das Auffinden sensibler Speicherorte (z. B. Upload-Verzeichnisse) und kann Fehlkonfigurationen offenbaren. Gerade wenn mehreren Redakteuren oder externen Dienstleistern Backend-Zugänge bereitgestellt werden, steigt das Risiko unbeabsichtigter Informationspreisgabe durch fehlgeschlagene Datei- oder Storage-Operationen.
Empfehlungen zur Risikominimierung:
- Rechtehygiene: Backend-Rollen auf das notwendige Minimum beschränken.
- Fehler- und Log-Handling: Fehleranzeigen für Redakteure einschränken, Logs zentral prüfen.
- Härtung der Infrastruktur: Pfad- und Verzeichnisnamen nicht auf produktive Struktur schließen lassen, sensible Dateien außerhalb des Webroots ablegen.
- Vor allem: Core-Update einspielen, da der Fix die Ursache adressiert.
Betroffene und behobene Versionen – jetzt aktualisieren
Betroffen sind TYPO3-Installationen in den folgenden Linien:
- 9.0.0–9.5.54
- 10.0.0–10.4.53
- 11.0.0–11.5.47
- 12.0.0–12.4.36
- 13.0.0–13.4.17
Sicher sind die Releases mit integriertem Fix:
- 9.5.55 ELTS
- 10.4.54 ELTS
- 11.5.48 ELTS
- 12.4.37 LTS
- 13.4.18 LTS
So gehen Sie vor:
1) Version prüfen und sofort auf die jeweilige abgesicherte LTS/ELTS-Version aktualisieren.
2) Nach dem Update Logs kontrollieren und Backend-Berechtigungen nachziehen.
3) Testlauf der Dateioperationen (FAL) im Staging, anschließend Rollout auf Produktion.
Die Schwachstelle ist als Information Disclosure klassifiziert und korreliert mit CWE-209; ein entsprechender CVE-Eintrag ist veröffentlicht.
Nachhaltige Absicherung mit der TYPO3-Update-Flatrate von JAR Media
Als in Deutschland ansässiger TYPO3-Umsetzungspartner für Marketing-, Design- und Werbeagenturen übernehmen wir das komplette Lifecycle-Management Ihrer Kundenprojekte – inklusive zeitnaher Security-Updates über Major-Versionen hinweg. Mit unserer Update-Flatrate halten wir Instanzen dauerhaft aktuell:
- Monatlich 300 € für kontinuierliche Updates und Wartung.
- Für bestehende Systeme fällt einmalig pro anstehendem Major-Sprung 3.600 € an. Beispiel: Von v10 auf v12 (zwei Major-Versionen) = 7.200 € initial, danach 300 € monatlich für laufende Aktualität.
Das Modell richtet sich an Agenturen und Reseller, die für Endkunden TYPO3 betreiben, ebenso wie an Betreiber eigener Websites – ausschließlich innerhalb Deutschlands. Wir arbeiten agil, stimmen uns eng mit Ihrem Team ab und übernehmen auf Wunsch auch Teilprojekte, wenn bereits interne Entwickler involviert sind. So stellen Sie sicher, dass Sicherheitsmeldungen wie TYPO3-CORE-SA-2025-020 zeitnah abgearbeitet werden, ohne Ihr Delivery-Team zu blockieren.
Wenn Sie Ihre Installationen auf die behobenen Versionen anheben oder in die Flatrate überführen möchten, sprechen Sie uns an – wir erstellen eine belastbare Aufwandsschätzung und setzen das Update risikominimiert um.
