TYPO3Einstufung:Kritisch

TYPO3 powermail: Kritische Lücke im Formular wird aktiv ausgenutzt

In der TYPO3-Erweiterung powermail kann jeder Besucher über ein Formularfeld Code einschleusen, ohne Login. TYPO3 meldet aktive Angriffe. Was du prüfen und tun solltest.

Tobias Wiesing

Tobias Wiesing · aktualisiert am

Betroffen
powermail bis 10.9.2, 11.0.0 bis 12.6.0 und 13.0.0 bis 13.2.0
Behoben in
powermail 10.9.3, 12.6.1 und 13.2.1
CVE
CVE-2026-77136

AktuellPHP-Sicherheitslücke PHP2Shell: Was ist betroffen und was ist zu tun?

Betrifft das deine Website? Wir prüfen es und kümmern uns um das Update, auch wenn wir sie nicht gebaut haben.

Unverbindlich anfragen

Schnelle Rückmeldung innerhalb weniger Stunden.

powermail ist eine der meistgenutzten Erweiterungen für Formulare in TYPO3. Am 25. August 2026 hat TYPO3 eine kritische Lücke darin gemeldet. Laut TYPO3 wird sie aktiv ausgenutzt.

Das Wichtigste in Kürze

  • Über ein normales Formularfeld kann jeder Besucher Befehle an TYPO3 schicken, ohne Login.
  • Im schlimmsten Fall kann er damit eigenen Code auf dem Server ausführen und Zugangsdaten auslesen.
  • Sicher sind powermail 10.9.3, 12.6.1 und 13.2.1.
  • Laut TYPO3 gibt es schon Angriffe. Prüf auch, ob deine Website betroffen war.

Was ist passiert?

Ist in einem powermail-Formular ein Feld als Name des Absenders markiert, wertet powermail die Eingabe in diesem Feld als Vorlage aus. Ein Angreifer schreibt dort statt eines Namens Befehle der Vorlagensprache von TYPO3 (Fluid) hinein. Fachleute nennen das Server-Side Template Injection.

Damit kann er laut TYPO3 die Konfiguration des Servers, Umgebungsvariablen und den Quellcode auslesen und unter Umständen eigenen Code ausführen. Er braucht dafür nur das Formular abzuschicken. TYPO3 stuft die Lücke als kritisch ein und schreibt: „This vulnerability is reported to be actively exploited in the wild.“

Bist du betroffen?

Ja, wenn deine Website powermail in einer dieser Versionen nutzt: bis 10.9.2, 11.0.0 bis 12.6.0 oder 13.0.0 bis 13.2.0. Und wenn in einem Formular ein Feld als „Dieses Feld enthält den Namen des Absenders“ markiert ist. Laut TYPO3 ist das eine übliche Einstellung.

Die powermail-Version siehst du im TYPO3-Backend unter Erweiterungen.

Was du jetzt tun solltest

  1. powermail aktualisieren auf 10.9.3, 12.6.1 oder 13.2.1.
  2. Wenn das nicht sofort geht: In allen Formularen bei jedem Feld die Option „Dieses Feld enthält den Namen des Absenders“ abschalten.
  3. Nach Spuren suchen. TYPO3 rät, die eingegangenen Mails zu prüfen, oder in der Datenbank die Tabelle tx_powermail_domain_model_mail im Feld sender_name. Stehen dort Zeichen wie f: oder v: oder das Wort namespace, solltest du laut TYPO3 davon ausgehen, dass die Website kompromittiert ist. Was dann zu tun ist: Website gehackt.
  4. Andere Erweiterungen prüfen. Am selben Tag hat TYPO3 vor der Erweiterung html5videoplayer_powermail gewarnt. Sie hat eine kritische Lücke ohne Update, weil sie nicht mehr gepflegt wird. TYPO3 rät, sie zu deinstallieren und ihren Ordner zu löschen.

Seit dem 21. Oktober ist außerdem PHP2Shell bekannt, eine kritische Lücke in PHP selbst. TYPO3 schreibt dazu, dass alle TYPO3-Installationen PHP aktualisieren sollten. TYPO3 selbst muss dafür nicht aktualisiert werden.

Quellen

Weitere Sicherheitslücken

Wir prüfen deine Website.

Schick uns die Adresse. Wir sagen dir, ob eine Lücke sie betrifft und was zu tun ist.

Unverbindlich anfragen

Schnelle Rückmeldung innerhalb weniger Stunden.