TYPO3-Sicherheitslücke im Recycler: Was Agenturen jetzt tun sollten – und wie die Update‑Flatrate Risiken minimiert

In der Sicherheitsmeldung TYPO3-CORE-SA-2026-003 wurde eine gravierende Zugriffskontroll-Schwachstelle im TYPO3-Recycler-Modul (ext:recycler) bekannt. Backend-Benutzerinnen und -Benutzer, die Zugriff auf den Recycler hatten, konnten gelöschte Datensätze aus beliebigen, im TCA registrierten Tabellen endgültig entfernen – auch dann, wenn ihnen für diese Tabellen eigentlich keine Berechtigung zustand. Das Ergebnis: Kritische Inhalte und Konfigurationen konnten unwiederbringlich gelöscht und Webseiten dadurch zeitweise außer Betrieb gesetzt werden. Der Schweregrad ist hoch.

Betroffen sind TYPO3-Versionen:

• 10.0.0–10.4.54
• 11.0.0–11.5.48
• 12.0.0–12.4.40
• 13.0.0–13.4.22
• 14.0.0–14.0.1

Die Schwachstelle ist behoben in: 10.4.55 ELTS, 11.5.49 ELTS, 12.4.41 LTS, 13.4.23 LTS und 14.0.2.

Wer ist betroffen und warum Agenturen besonders handeln sollten

Für Marketing-, Design- und Werbeagenturen sowie andere Reseller birgt diese Lücke besondere Risiken:

• Mehrmandanten-Setups: Ein kompromittierter Backend-Account mit Recycler-Zugriff kann Inhalte über Projekte hinweg löschen.
• SLA- und Reputationsrisiken: Unerwartete Downtimes und Datenverluste wirken sich direkt auf Kundenzufriedenheit, vertragliche Verpflichtungen und Markenwahrnehmung aus.
• Operative Aufwände: Die Wiederherstellung aus Backups kostet Zeit, bindet Teams und verzögert Kampagnen.

Kurz: Wenn in Ihrem Team oder bei Ihren Kundinnen und Kunden das Recycler-Modul aktiviert ist, sollten Sie umgehend handeln.

Empfohlene Sofortmaßnahmen

• Aktualisieren Sie betroffene Instanzen auf eine der abgesicherten Versionen (10.4.55 ELTS, 11.5.49 ELTS, 12.4.41 LTS, 13.4.23 LTS, 14.0.2).
• Bis zum Update: Beschränken Sie den Zugriff auf das Recycler-Modul strikt (z. B. nur für Administratoren).
• Erstellen und verifizieren Sie aktuelle Backups (inkl. Datenbank und Fileadmin).
• Prüfen Sie Berechtigungen und Rollen: Entfernen Sie unnötige Rechte, insbesondere für das Recycler-Modul.
• Kontrollieren Sie Logs auf ungewöhnliche Löschvorgänge und setzen Sie Monitoring/Alerting für Datenänderungen auf.
• Planen Sie bei älteren Ständen die Migration auf eine unterstützte LTS-/ELTS-Version, um Sicherheitsfixes zeitnah zu erhalten.

Wie JAR Media Agenturen jetzt unterstützt

Als technischer Umsetzungspartner für Agenturen in Deutschland sichern und aktualisieren wir TYPO3-Installationen schnell und planbar – auf Wunsch im White-Label. Unser Angebot umfasst:

• Portfolio-Check: Wir inventarisieren Ihre TYPO3-Instanzen, identifizieren betroffene Versionen und priorisieren das Patch-Rollout.
• Schnelle Absicherung: Einspielen der Security-Releases, Rechte-Härtung und Überprüfung des Recycler-Setups.
• Upgrade-Pfade: Für Systeme außerhalb des Supportfensters übernehmen wir das Upgrade auf die passende LTS/ELTS inklusive Extension-Kompatibilitätsprüfung, Datenbank-Migration und Regressionstests.

Besonders empfehlenswert ist unsere TYPO3-Update-Flatrate:

• Wir halten Ihr TYPO3 fortlaufend aktuell – inklusive zukünftiger Major-Versionen – für 300 € pro Monat je Instanz.
• Wenn Sie mit einer älteren Major-Version einsteigen, fällt einmalig je zu hebender Major-Version ein Bring-up von 3.600 € an. Beispiel: Von v10 auf v12 (zwei Major-Versionen) = 7.200 € initial, danach 300 €/Monat. Ab dann bleiben Sie dauerhaft up-to-date, ohne Release-Stau.

Für individuelle Anforderungen bieten wir zusätzlich projektbezogene Leistungen an:

• Programmierung: 95 € pro Stunde
• Beratung/Architektur: 105 € pro Stunde

Alle Leistungen richten sich ausschließlich an Kundinnen und Kunden in Deutschland. Wenn Sie als Agentur die technische Umsetzung auslagern oder Ihren Bestand proaktiv absichern möchten, unterstützen wir Sie kurzfristig – von der Ad-hoc-Absicherung bis zur langfristigen Wartung mit Flatrate.