TYPO3-EXT-SA-2025-011: Was Agenturen jetzt zu TYPO3 Backup Plus wissen müssen

03.09.2025
In der Extension TYPO3 Backup Plus bis Version 13.0.2 wurde eine schwerwiegende Command-Injection-Lücke (CVE-2025-9573) entdeckt; das Update auf 13.0.3 schließt sie. Für Agenturen und Reseller in Deutschland erläutern wir Risiken, priorisierte Sofortmaßnahmen (Update, Backup-Prüfung, Rechtehärtung, Log-Review, Systemhärtung, Kundeninformation) und zeigen, wie Sie Vorfälle vermeiden. Mit unserer Update-Flatrate halten wir Core und Extensions kontinuierlich aktuell – inklusive Major-Upgrades – zu 300 € monatlich; initiale Altstände heben wir für 3.600 € je Major-Version an. So sichern Sie Kundensysteme planbar ab und reduzieren Aufwand, Risiken und Reputationsschäden.

In der Drittanbieter-Erweiterung “TYPO3 Backup Plus” (ns_backup, Composer-Paket nitsan/ns-backup) wurde eine Schwachstelle mit hoher Kritikalität festgestellt. Betroffen sind Installationen bis einschließlich Version 13.0.2. Der Fehler ermöglicht unter bestimmten Umständen das Einschleusen von Betriebssystembefehlen (Command Injection) während des Backup-Prozesses. Laut Advisory ist für einen erfolgreichen Angriff ein gültiger Administratorzugang erforderlich. Ein Update auf die korrigierte Version 13.0.3 behebt die Lücke. Die Schwachstelle ist unter anderem unter CVE-2025-9573 referenziert.

Risiko-Einordnung für Marketing-, Design- und Werbeagenturen

Backup-Erweiterungen arbeiten häufig mit weitreichenden Rechten und direktem Zugriff auf Filesystem und Datenbank. Wenn Benutzereingaben nicht ausreichend validiert werden, kann dies dazu führen, dass im Rahmen des Backup-Vorgangs Befehle injiziert und mit Admin-Rechten ausgeführt werden. Selbst wenn ein Admin-Login nötig ist, bleibt das Risiko real:

  • Mehrere Personen teilen sich in Projekten oft Admin-Zugänge.
  • Wiederverwendete oder kompromittierte Passwörter erhöhen die Angriffsfläche.
  • Technische Admins Dritter (z. B. Hosting) besitzen teilweise erweiterte Zugriffsrechte.

Mögliche Auswirkungen reichen von Datenabfluss und Manipulation über Ausfälle bis hin zur Kompromittierung weiterer Systeme. Für Agenturen, die als Reseller auftreten, steht zudem die eigene Reputation beim Endkunden auf dem Spiel – besonders, wenn Sicherungen im Ernstfall nicht verlässlich sind.

Empfohlene Sofortmaßnahmen

Handeln Sie zeitnah, um Projekt- und Kundensysteme zu schützen:

  • Aktualisieren Sie die Erweiterung auf mindestens Version 13.0.3 über den TYPO3 Extension Manager oder Composer.
  • Prüfen Sie unmittelbar im Anschluss die Backup-Jobs: Erstellen Sie neue Sicherungen und validieren Sie deren Wiederherstellbarkeit in einer Staging-Umgebung.
  • Überarbeiten Sie die Rechtevergabe: Minimieren Sie die Anzahl administrativer Konten, aktivieren Sie 2FA wo möglich und rotieren Sie Passwörter.
  • Sichten Sie System- und Webserver-Logs auf ungewöhnliche Vorgänge rund um Backup-Zeitpunkte.
  • Härten Sie das System generell: Entfernen Sie ungenutzte Extensions, halten Sie PHP/Server-Pakete aktuell und setzen Sie geeignete Restriktionen für Shell/Exec-Aufrufe.
  • Dokumentieren Sie Maßnahmen und informieren Sie Ihre Endkunden proaktiv über das Update und die Risikobewertung.

Nachhaltig absichern: Update-Flatrate für TYPO3-Core und Extensions

Sicherheitslücken in Extensions und Major-Upgrades des TYPO3-Kerns sind für viele Unternehmen und Agenturen gleichermaßen herausfordernd. Unser kontinuierlicher Wartungsansatz nimmt Ihnen diesen Druck ab:

  • Wir halten Ihre TYPO3-Instanz einschließlich Extensions fortlaufend aktuell – auch über Major-Versionen hinweg.
  • Monatlicher Festpreis: 300 €.
  • Für neue Kundensysteme mit älteren Major-Ständen führen wir einmalig das notwendige Initial-Upgrade durch: 3.600 € je zu überspringender Major-Version (Beispiel: von v10 auf v12 = zwei Major-Versionen = 7.200 €), anschließend gilt die monatliche Flatrate.
  • Vorgehen mit Qualitätssicherung: Staging-Updates, automatisierte und manuelle Tests, Review kritischer Funktionen (z. B. Backup/Restore), geplante Rollout-Fenster und Fallback-Strategien.

Als technischer Umsetzungspartner arbeiten wir eng mit Marketing-, Design- und Werbeagenturen sowie Resellern in Deutschland zusammen – auf Wunsch übernehmen wir vollständige Update-Prozesse oder Teilbereiche, integrieren uns in bestehende Teams und sorgen dafür, dass Systeme sicher und verkaufsfähig bleiben. Wenn Sie Unterstützung bei der Absicherung von TYPO3-Projekten und beim Betrieb Ihrer Kundensysteme benötigen, sprechen Sie uns an.

Kennen Sie schon unsere
TYPO3-Update-Flatrate?

Gerne bieten wir Ihnen unsere TYPO3-Update-Flatrate an. Wir halten Ihre Seite ganz ohne ihr Zutun im Hintergrund immer aktuell. Auch über Major-Versionen hinweg.
Das Beste: Wir veranschlagen dafür einen monatlichen Festpreis - garantiert keine versteckten Kosten.

Lassen Sie Ihre Kontaktdaten im nachfolgenden Formular, um weitere Informationen zu erhalten.

Wir geben diese Nummer niemals weiter.
Nur zur Bearbeitung dieser Anfrage. Wir versenden niemals Spam.