Sierpień 2026 w TYPO3 Podsumowanie miesiąca
Czternaście advisories dla rozszerzeń jednego dnia (w tym Powermail i Solr), wydania bezpieczeństwa 14.3.6 i 13.4.34, premiera certyfikacji v14 na Developer Days, Visual Editor gotowy do produkcji i miesiąc decyzji o nowej strukturze projektu. Stan: 23 września 2026
W skrócie
Bezpieczeństwo: 11 sierpnia ukazały się wydania 14.3.6 i 13.4.34 z jedną poprawką w Core. 25 sierpnia Security Team opublikował czternaście advisories dla rozszerzeń jednego dnia - m.in. Powermail, femanager, Apache Solr, Mask i rozszerzenia do obsługi wydarzeń.
Developer Days: 6-8 sierpnia w Karlsruhe zadebiutowały egzaminy certyfikacyjne TYPO3 v14. Opublikowano tam też publiczny szkic nowej struktury projektu.
Governance: Zasady działania jednostek TYPO3 poszły do konsultacji, uruchomiono niezależną mediację przy Code of Conduct, a sześć pomysłów budżetowych trafiło pod głosowanie członków.
Dla polskich instalacji: Powermail jest w niemal każdym polskim serwisie TYPO3. Jeśli od 25 sierpnia nie było u Ciebie aktualizacji rozszerzeń - to jest lektura obowiązkowa.
Sierpień w ekosystemie TYPO3 miał dwie twarze. Z jednej strony był to miesiąc organizacyjny: konsultacje nowych zasad działania projektu, głosowania budżetowe, protokoły zarządu. Z drugiej - jeden z najbardziej intensywnych miesięcy pod względem bezpieczeństwa w tym roku, z falą advisories obejmującą najpopularniejsze rozszerzenia w ekosystemie. Zbieramy najważniejsze wydarzenia z perspektywy praktycznej dla osób utrzymujących strony na TYPO3 w Polsce.
Czternaście advisories dla rozszerzeń jednego dnia Bezpieczeństwo
11 sierpnia opublikowano wydania bezpieczeństwa TYPO3 14.3.6 i 13.4.34 - obie linie jednocześnie. Towarzyszyło im jedyne w tym miesiącu ostrzeżenie dla rdzenia:
Backend i Install Tool - obejście kontroli dostępuTYPO3-CORE-SA-2026-021
Podatność typu Broken Access Control w panelu administracyjnym i narzędziu instalacyjnym. Klasyfikację i szczegóły znajdziesz w oficjalnym advisory na typo3.org/security. Naprawiona w 14.3.6 i 13.4.34; jeśli działasz na którejś z tych linii, to aktualizacja do zaplanowania w pierwszej kolejności.
Prawdziwym wydarzeniem miesiąca był jednak 25 sierpnia. Tego dnia TYPO3 Security Team opublikował czternaście skoordynowanych advisories dla rozszerzeń firm trzecich (seria TYPO3-EXT-SA-2026-014 do -027). To druga taka fala w tym roku - po majowej dla rozszerzeń i czerwcowej dla Core - i pod pewnym względem najważniejsza, bo dotyczy dodatków obecnych w ogromnej części instalacji:
✗ Powermail - najpopularniejsze rozszerzenie do formularzy w ekosystemie, obecne w niemal każdym polskim serwisie TYPO3, który ma formularz kontaktowy
✗ femanager - zarządzanie użytkownikami frontendowymi, rejestracja i logowanie
✗ Apache Solr for TYPO3 - wyszukiwarka pełnotekstowa stosowana w dużych portalach i serwisach uczelnianych
✗ Mask - narzędzie do budowy własnych elementów treści, często stanowiące fundament całego szablonu
✗ Events 2 oraz Event Management and Registration - obsługa wydarzeń i rejestracji uczestników
✗ oraz kolejne rozszerzenia z tej samej serii
Dla polskich instalacji szczególnie istotny jest Powermail. Formularz kontaktowy to miejsce, w którym strona zbiera dane osobowe - a podatność w rozszerzeniu obsługującym formularze to potencjalna droga do tych danych. Dla podmiotów pod RODO i NIS2 aktualizacja Powermail po 25 sierpnia nie jest kwestią wyboru, lecz udokumentowanego obowiązku. Warto też pamiętać, że dane z formularzy można dodatkowo chronić przez szyfrowanie w bazie - tak, by nawet w razie incydentu pozostały nieczytelne.
Ta fala potwierdza wniosek, który powtarzamy od początku roku: w skali ekosystemu zdecydowana większość podatności dotyczy rozszerzeń, nie rdzenia. Sam Security Team zachęca, by po takim miesiącu przejść przez listę zainstalowanych rozszerzeń w composer.json i sprawdzić każde pod kątem statusu utrzymania w TYPO3 Extension Repository. Rozszerzenie, którego nikt nie rozwija, nie dostanie łatki - i to jest realne ryzyko niezależne od wersji rdzenia. Pełny przegląd tegorocznych luk prowadzimy w naszym przewodniku po lukach bezpieczeństwa TYPO3.
Premiera certyfikacji v14 Developer Days
6-8 sierpnia w Karlsruhe odbyły się TYPO3 Developer Days 2026 pod hasłem „Next Gen TYPO3” - najważniejsze wydarzenie deweloperskie roku. Dla rynku najistotniejsza była premiera egzaminów certyfikacyjnych dla TYPO3 v14: od tego momentu deweloperzy, integratorzy, konsultanci i redaktorzy mogą potwierdzać kompetencje w aktualnej wersji systemu. Egzaminy są od tej pory dostępne także na kolejnych wydarzeniach - we wrześniu w Monachium i Erfurcie, w październiku w Berlinie i Düsseldorfie.
Dla klientów wybierających agencję certyfikaty zespołu to jeden z niewielu obiektywnych sygnałów jakości; dla agencji - element wiarygodności w przetargach. Warto wiedzieć, że certyfikacja v14 obejmuje zmiany, które realnie wpływają na codzienną pracę: mniejszy nacisk na TypoScript, większy na Fluid i nowoczesne mechanizmy konfiguracji.
Podczas Developer Days opublikowano również publiczny szkic propozycji nowej struktury projektu - zapowiedziany w lipcu na Dialogue Days. To otwiera drugi wątek miesiąca.
Miesiąc decyzji o strukturze projektu Governance
Sierpień był miesiącem organizacyjnym - i warto to śledzić, bo decyzje o strukturze TYPO3 Association przekładają się na to, jak projekt będzie rozwijany i finansowany w kolejnych latach. Najważniejsze wątki:
• 6 sierpnia do konsultacji trafiły proponowane Zasady działania jednostek TYPO3 (TYPO3 Units) wraz z koncepcją Panelu Współpracy Jednostek - z terminem uwag do 6 września. To rdzeń reformy: podział projektu na jednostki z własną odpowiedzialnością i budżetem.
• Od 1 września działa niezależny, zewnętrzny kontakt do zgłaszania incydentów związanych z Code of Conduct - obok dotychczasowego Komitetu Ombudsperson. Poprzedził go webinar 26 sierpnia wyjaśniający, jak mediacja będzie działać w praktyce.
• 5 sierpnia pod głosowanie członków trafiło sześć pomysłów budżetowych trzeciej rundy - cztery od społeczności i dwa od zespołów.
• Protokoły zarządu z 6 i 19 sierpnia obejmują m.in. politykę konfliktu interesów, propozycję powołania Komitetu Enterprise oraz wczesne przygotowania do Cyber Resilience Act.
Co z tego wynika dla obserwatora z Polski? Na początku września zarząd odroczył do 2027 roku powołanie Komitetu Sektora Publicznego - ciała, które miało zbierać głos instytucji publicznych i przekuwać go w rekomendacje dla roadmapy. Powód jest zrozumiały: zarząd koncentruje się na reformie struktury. Ale to oznacza, że sektor publiczny - w Polsce najważniejszy odbiorca TYPO3 - musi na razie liczyć na agencje, które znają jego specyfikę z praktyki, a nie na formalne struktury projektu.
Harmonogram reformy jest już znany: nadzwyczajne walne zgromadzenie online pod koniec października, dzień startowy jednostek 4-5 listopada w Düsseldorfie, wstępne działanie nowej struktury od 6 listopada i pełne wdrożenie budżetowe od 1 stycznia 2027. Wciąż nie pojawiła się natomiast zapowiedziana na wrzesień oficjalna komunikacja o „TYPO3 Suite” - temat pozostaje otwarty.
Visual Editor gotowy do produkcji, Content Blocks na v14, przewodnik GEO Ekosystem
Trzy wiadomości z sierpnia mają bezpośrednie przełożenie na codzienną pracę redaktorów i integratorów.
✓ Visual Editor uzyskał status gotowego do produkcji po projekcie finansowanym z budżetu społeczności. Prace skupiły się na dostępności, niezawodności i wielojęzycznych procesach redakcyjnych. Droga do włączenia do rdzenia pozostaje otwarta - to obecnie najbardziej obiecujący kierunek dla redaktorów, którzy chcą edytować treść bezpośrednio w podglądzie strony.
✓ Interfejs graficzny Content Blocks działa teraz na v13 i v14 z jednej bazy kodu, według raportu kwartalnego zespołu Content Types. Schemat JSON doczekał się kolejnych usprawnień. Content Blocks to przyszłościowy sposób definiowania własnych elementów treści - warto go brać pod uwagę przy nowych wdrożeniach na v14.
✓ Opublikowano praktyczny przewodnik GEO (Generative Engine Optimization) dla TYPO3: jak dzielić treść na fragmenty, stosować dane strukturalne i konfigurować wielojęzyczność tak, by treść miała szansę być cytowana w odpowiedziach generowanych przez AI. Napisany dla osób od treści, nie tylko dla deweloperów - i spójny z tym, co opisywaliśmy przy okazji nowej kategorii Agentic Browsing w PageSpeed Insights.
Z tekstów opiniotwórczych warto odnotować głos wiceprezes TYPO3 Association o cyfrowej suwerenności - argument, że zmiany zachodzące w europejskim sektorze publicznym są dla projektu szansą, nie zagrożeniem - oraz relację z północnoamerykańskiego Summitu poświęconą różnicy między funkcjami wbudowanymi a rozrostem wtyczek: wielojęzyczność, przepływy pracy i uprawnienia jako część rdzenia, a nie dodatek. Pojawił się też oficjalny poradnik wyboru agencji TYPO3 - materiał, który warto podsyłać klientom na etapie wyboru wykonawcy.
Społeczność w liczbach
Sierpniowy raport kontrybucji do rdzenia: 80 kontrybutorów (wobec 61 w lipcu), 44 autorów patchy, 148 review - w tym 4 nowe funkcje, 62 poprawki błędów i 78 zadań porządkowych - oraz 13 osób ulepszających dokumentację. Rekordowa jest liczba przetłumaczonych słów w Crowdin: ponad 300 000, wobec nieco ponad 6 000 miesiąc wcześniej. Ten skok to najprawdopodobniej efekt dużej, skoordynowanej akcji tłumaczeniowej - dobra wiadomość dla użytkowników Backendu w językach innych niż angielski i niemiecki.
Co przed nami? Wrzesień i październik
• 11-13 września - TYPO3 Camp München.
• 15-16 września - University Days w Erfurcie (spotkanie sektora uczelnianego z agencjami, egzaminy certyfikacyjne na miejscu).
• 23-24 września - DMEXCO w Kolonii.
• 3 października - upływa termin rejestracji podmiotów w systemie S46 wynikający z nowelizacji ustawy o KSC (NIS2). Zostało dziesięć dni.
• 15-17 października - TYPO3 Camp Berlin.
• 19-22 października - wydarzenie w Düsseldorfie z egzaminami certyfikacyjnymi.
• Koniec października - nadzwyczajne walne zgromadzenie TYPO3 Association online w sprawie zmian statutowych.
• 31 października - koniec wsparcia bezpieczeństwa dla TYPO3 v12. Zostało pięć tygodni.
• 4-5 listopada - dzień startowy nowych jednostek TYPO3 w Düsseldorfie.
• 9-10 listopada - czwarty kwartalny szczyt zarządu.
Checklista administratora po sierpniu
Zaktualizuj Core do 14.3.6 / 13.4.34To wydania bezpieczeństwa, nie serwisowe.
Sprawdź wersje rozszerzeńSprawdź wersje Powermail, femanager, Solr, Mask i rozszerzeń do wydarzeń wobec advisories z 25 sierpnia. Powermail w pierwszej kolejności.
Przejdź przez pełną listę rozszerzeńPrzejdź przez pełną listę rozszerzeń w composer.json i sprawdź status utrzymania każdego w TYPO3 Extension Repository. Porzucone rozszerzenia to ryzyko niezależne od wersji rdzenia.
Jesteś na v12? Zostało pięć tygodni.Jeśli migracja nie jest w toku - czas na decyzję: migracja etapowa albo ELTS jako pomost.
Podlegasz NIS2?Termin rejestracji to 3 października. Udokumentuj sierpniowe aktualizacje jako element zarządzania podatnościami.
Najczęściej zadawane pytania
Sprawdź wersję rozszerzenia wobec advisory z 25 sierpnia na typo3.org/security. Jeśli jest starsza niż wersja z poprawką - zaktualizuj niezwłocznie. Powermail obsługuje dane osobowe, więc to aktualizacja o wysokim priorytecie. Niezależnie od tego rozważ szyfrowanie zapisanych zgłoszeń w bazie danych.
Potwierdza kompetencje w aktualnej wersji - dla deweloperów, integratorów, konsultantów i redaktorów. Dla klientów to obiektywny sygnał przy wyborze agencji, dla agencji - argument w przetargach. Egzaminy są dostępne na kolejnych wydarzeniach TYPO3 w Europie.
TYPO3 Security Team koordynuje publikacje - zbiera zgłoszenia, weryfikuje, czeka na łatki od autorów rozszerzeń i publikuje serię naraz, gdy poprawki są gotowe. Skoordynowana publikacja to standard bezpiecznych projektów: minimalizuje okno między ujawnieniem a dostępnością łatki.
Pośrednio - tak. Nowa struktura ma dać jednostkom projektu własną odpowiedzialność i budżet, co powinno przyspieszyć rozwój i decyzje. Dla polskiego sektora publicznego warto odnotować, że dedykowany komitet odłożono do 2027 - na razie głos tego sektora reprezentują agencje znające jego specyfikę.
Jak możemy pomóc
Sierpniowa fala advisories to dokładnie ten scenariusz, dla którego istnieją umowy utrzymaniowe: łatki wdrażane w dniu publikacji, przegląd rozszerzeń po każdej serii ostrzeżeń i dokumentacja pod audyt NIS2 - bez pilnowania kalendarza wydań przez klienta. Pomagamy też w migracjach z v12 w ostatnim oknie przed końcem wsparcia oraz w szyfrowaniu danych z formularzy Powermail.
Telefon: 12 333 44 01. Email: [email protected].