TYPO3-Mailqueue-Sicherheitslücke: Was Agenturen jetzt prüfen sollten – und wie die Update-Flatrate Risiken minimiert

21.01.2026
In der TYPO3-Extension Mailqueue (cpsit/TYPO3-mailqueue) wurde eine Insecure-Deserialization-Schwachstelle (u. a. CVE-2026-0895) identifiziert, die Installationen mit Version 0.5.0 sowie 0.4.2 und älter betrifft. Für Agenturen mit vielen Mandantenprojekten ist das Risiko erhöht, da Mail-Spooling häufig unbeaufsichtigt im Hintergrund läuft und veraltete Abhängigkeiten unbemerkt aktiv bleiben können. Der Beitrag zeigt, wie Sie betroffene Instanzen erkennen und auf die fehlerbereinigten Versionen 0.5.1 bzw. 0.4.3 aktualisieren – ergänzt um Best Practices für Security-Hygiene. Auf Wunsch übernehmen wir die kurzfristige Prüfung und Aktualisierung und halten Ihre TYPO3-Systeme anschließend über unsere Update-Flatrate dauerhaft aktuell (300 € monatlich; initial 3.600 € je anzuhebender Major-Version). Das Angebot richtet sich ausschließlich an Agenturen und Reseller in Deutschland.

In der TYPO3-Erweiterung „Mailqueue“ (Composer-Paket: cpsit/TYPO3-mailqueue) wurde eine Schwachstelle der Kategorie Insecure Deserialization identifiziert (CWE-502, referenziert u. a. als CVE-2026-0895). Betroffen sind nach aktuellem Stand die Versionen 0.5.0 sowie 0.4.2 und älter. Die Erweiterung erweitert bzw. ersetzt Komponenten rund um das Mail-Spooling. Dabei wurde fehleranfällige Serialisierung genutzt, wodurch unter bestimmten Umständen Schadcode eingeschleust oder Systemintegrität kompromittiert werden kann. Obwohl der TYPO3-Core dieses Problem bereits adressiert hat, kann die Schwachstelle durch das Verhalten der Erweiterung erneut wirksam werden, wenn eine verwundbare Extension-Version im Einsatz ist. Der Schweregrad wird als mittel eingestuft, die potenziellen Auswirkungen auf Vertraulichkeit und Systemstabilität sind jedoch ernst zu nehmen.

Für Agenturen, die mehrere Kundenprojekte betreuen, ist besonders kritisch, dass die Mailqueue-Funktion häufig unbeaufsichtigt im Hintergrund arbeitet: Ein unscheinbares Abhängigkeits-Update oder eine alte Lock-Datei kann dazu führen, dass verwundbare Versionen unbemerkt aktiv bleiben.

Bin ich betroffen? So prüfen Sie Ihre Installationen

  • Prüfen Sie in Composer-Projekten die installierte Version: 
    composer show cpsit/TYPO3-mailqueue

    oder kontrollieren Sie den Eintrag in composer.lock.

  • Im Extension Manager sehen Sie die Versionsnummer der installierten „Mailqueue“-Erweiterung direkt in der Übersicht.
  • Achten Sie zusätzlich darauf, ob projektseitig Core-Klassen rund um das Mail-Spooling überschrieben werden. Solche Overrides können Patches aus dem Core neutralisieren.

Als betroffen gelten Installationen mit Mailqueue 0.5.0 bzw. 0.4.2 und älter. Nicht betroffen sind Installationen mit den behobenen Versionen 0.5.1 oder 0.4.3.

Empfohlene Maßnahmen für Agenturen und Reseller

1) Sofortiges Update einplanen

  • Aktualisieren Sie auf eine fehlerbereinigte Version:
    • Branch 0.5.x: 0.5.1 oder neuer
    • Branch 0.4.x: 0.4.3 oder neuer
  • Beispiel Composer: 
    composer require cpsit/TYPO3-mailqueue:^0.5.1

    bzw.

    composer require cpsit/TYPO3-mailqueue:^0.4.3
  • Leeren Sie nach dem Update alle Caches und prüfen Sie die Mail-Queue auf unerwartete Einträge.

2) Core-Stand verifizieren
Stellen Sie sicher, dass Ihre TYPO3-Installation die entsprechenden Core-Sicherheitsfixes enthält (siehe aktuelle Security Advisories). Kombinationen aus gepatchtem Core und ungepatchter Extension sind zu vermeiden.

3) Security-Hygiene etablieren

  • Abhängigkeiten regelmäßig auditieren (Composer-Audits, Dependabot/Renovate, Security Advisories beobachten).
  • Serialization/Deserialization in eigenen Extensions vermeiden oder strikt absichern.
  • Prozesse für schnelle, risikoarme Updates in Kundenprojekten definieren.

Wie wir Sie unterstützen: Stabilität und Sicherheit mit Update-Flatrate

Als technischer Umsetzungspartner für Marketing-, Design- und Werbeagenturen in Deutschland hält JAR Media (eine Marke der invokable GmbH) Ihre TYPO3-Systeme verlässlich aktuell. Für Agenturen mit vielen Mandantenprojekten reduzieren wir mit klaren Prozessen den Update-Aufwand und das Betriebsrisiko:

  • TYPO3-Update-Flatrate: Für 300 € pro Monat halten wir Ihre TYPO3-Instanzen kontinuierlich auf dem neuesten Stand – inklusive künftiger Major-Versionen.
  • Onboarding bestehender Installationen: Falls ein neues Projekt zunächst über eine oder mehrere Major-Versionen gehoben werden muss, berechnen wir einmalig 3.600 € je anzuhebender Major-Version (z. B. von v10 auf v12 = 7.200 €). Anschließend greift die Flatrate mit laufender Pflege.
  • Nahtlose Zusammenarbeit: Wir arbeiten eng mit Ihrem Team zusammen – auf Wunsch als verlängerte Werkbank – und übernehmen komplette Projekte oder Teilgewerke. Für Individualleistungen rechnen wir transparent auf Stundenbasis ab (95 € pro Programmiererstunde, 105 € pro Beraterstunde). Wir schätzen Budgets vorab und arbeiten agil.

Wenn Sie möchten, prüfen wir Ihre Projekte kurzfristig auf die „Mailqueue“-Schwachstelle, aktualisieren die betroffenen Komponenten und etablieren einen nachhaltigen Update-Prozess. So bleiben Ihre Kundenwebsites sicher, performant und updatefähig – ohne Überraschungen im Tagesgeschäft. Hinweis: Unser Angebot richtet sich ausschließlich an Kunden in Deutschland.

Kennen Sie schon unsere
TYPO3-Update-Flatrate?

Gerne bieten wir Ihnen unsere TYPO3-Update-Flatrate an. Wir halten Ihre Seite ganz ohne ihr Zutun im Hintergrund immer aktuell. Auch über Major-Versionen hinweg.
Das Beste: Wir veranschlagen dafür einen monatlichen Festpreis - garantiert keine versteckten Kosten.

Lassen Sie Ihre Kontaktdaten im nachfolgenden Formular, um weitere Informationen zu erhalten.

Wir geben diese Nummer niemals weiter.
Nur zur Bearbeitung dieser Anfrage. Wir versenden niemals Spam.