Am 25. August 2026 hat das TYPO3-Security-Team 14 neue Security Advisories publiziert. Zwei davon sind als „kritisch" eingestuft. Die gute Nachricht: Der TYPO3-Core ist diesmal nicht betroffen. Die schlechte: Es geht um Extensions, die in fast jeder gewachsenen TYPO3-Installation stecken – und eine davon wird laut TYPO3-Security-Team bereits aktiv ausgenutzt.
Worum geht es konkret?
Im Zentrum steht Powermail, die am weitesten verbreitete Formular-Extension für TYPO3. Die Schwachstelle trägt die Kennung CVE-2026-77136 (TYPO3-EXT-SA-2026-022) und ist eine Server-Side Template Injection:
- Powermail übergibt den Rohwert des Feldes „Dieses Feld enthält den Namen des Absenders" ungefiltert an eine Fluid-View – und rendert ihn.
- Wer Fluid-Syntax in dieses Feld schreibt, kann beliebige ViewHelper ausführen: Serverkonfiguration, Umgebungsvariablen und Quellcode werden lesbar, im Ergebnis ist Remote Code Execution möglich.
- Kein Login nötig, keine Interaktion über das normale Absenden des Formulars hinaus. Betroffen sind die Versionen 10.9.2 und älter, 11.0.0–12.6.0 sowie 13.0.0–13.2.0.
Die zweite kritische Lücke betrifft den „HTML5 Video Player" (TYPO3-EXT-SA-2026-014): unsichere Deserialisierung eines Cookie-Werts, ebenfalls mit Remote Code Execution. Für diese Extension gibt es kein Update – sie wird aus dem TYPO3 Extension Repository entfernt und muss deinstalliert werden.
Wer ist betroffen?
Ausnutzbar ist die Powermail-Lücke, sobald ein Formularfeld als Absendername konfiguriert ist – das ist die Standard-nahe Konfiguration, also der Normalfall. Praktisch heißt das: Wenn deine TYPO3-Website ein Kontakt-, Anfrage- oder Buchungsformular mit Powermail betreibt und nicht seit Ende August gepatcht wurde, gehört sie auf die Prüfliste. Weitere Advisories betreffen unter anderem Apache Solr, femanager, sf_event_mgt und Mask.
Was solltest du jetzt tun?
- Powermail sofort auf 10.9.3, 12.6.1 oder 13.2.1 aktualisieren. Ist ein Update kurzfristig nicht möglich: die Absendername-Konfiguration im Formular deaktivieren.
- Prüfen, ob es bereits einen Vorfall gab – in der Tabelle tx_powermail_domain_model_mail und in eingegangenen Formularmails nach Fluid-Syntax wie f:, v: oder namespace suchen.
- Wird so etwas gefunden, gilt das System als potenziell kompromittiert: Logs sichern, Passwörter tauschen, Integrität prüfen – nicht einfach weiterlaufen lassen.
- Extension-Liste der Installation durchgehen und die restlichen zwölf Advisories abarbeiten.
Wir prüfen deine Installation, spielen Updates kontrolliert ein und klären im Verdachtsfall, ob tatsächlich etwas passiert ist – egal ob in TYPO3, WordPress, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus. Wenn du nicht weißt, wie aktuell deine Extensions sind, ist genau das der Punkt, an dem wir ansetzen.
Nimm jetzt Kontakt auf!
Quellen:
