Wrzesień 2026 w TYPO3 Podsumowanie miesiąca
Wydania 14.3.7 i 13.4.35 z advisory wysokiej wagi dla v14, start obowiązków CRA, sezon campów, harmonogram reformy governance - i miesiąc do końca wsparcia v12. Stan: 1 października 2026
W skrócie
Bezpieczeństwo: 8 września ukazały się wydania 14.3.7 i 13.4.35 oraz wersje ELTS dla v10-v12, zamykające dwa advisories. Jedno z nich - wysokiej wagi - dotyczy wyłącznie v14 i pozwalało administratorom bez uprawnień opiekuna systemu modyfikować konfigurację przez harmonogram zadań.
Regulacje: 11 września wszedł w życie obowiązek raportowania aktywnie wykorzystywanych podatności wg Cyber Resilience Act. W Polsce 3 października mija termin rejestracji podmiotów NIS2.
Wydarzenia: Sezon campów: dziewiętnasty TYPO3 Camp München, University Days w Erfurcie po raz pierwszy organizowane wspólnie przez pięć uczelni, DMEXCO w Kolonii.
Dla polskich instalacji: Do końca wsparcia TYPO3 v12 został miesiąc. Jeśli migracja nie jest w toku, to ostatni moment na decyzję.
Bezpieczeństwo Dwa advisories, jedno wysokiej wagi
8 września TYPO3 Security Team opublikował wydania bezpieczeństwa 14.3.7 i 13.4.35, a równolegle wersje ELTS 12.4.49, 11.5.54 i 10.4.60 dla płatnego wsparcia starszych linii. Zamykają one dwie podatności w rdzeniu:
Ujawnienie informacji przez kreator lokalizacji, WSZYSTKIE LINIE v10-v14TYPO3-CORE-SA-2026-022 / CVE-2026-77132
Punkty końcowe obsługujące tłumaczenie stron w Backendzie nie sprawdzały poprawnie uprawnień do strony, co pozwalało zalogowanemu użytkownikowi uzyskać dostęp do informacji o stronach, do których nie miał praw.
Brak autoryzacji w poleceniach niskopoziomowych, WYSOKA - TYLKO v14 (14.2.0-14.3.6)TYPO3-CORE-SA-2026-023 / CVE-2026-85400
Administratorzy Backendu bez uprawnień opiekuna systemu mogli przez harmonogram zadań uruchamiać polecenia odczytu, modyfikacji i wyświetlania konfiguracji systemowej.
Druga luka zasługuje na uwagę z dwóch powodów. Po pierwsze, pokazuje różnicę między rolą administratora a opiekuna systemu: w TYPO3 nie każdy administrator powinien mieć dostęp do konfiguracji instalacji, a ta podatność to rozróżnienie omijała. Po drugie, jest to pierwsza w tym roku poważna luka dotycząca wyłącznie nowej linii v14 - przypomnienie, że najnowsza wersja nie oznacza braku aktualizacji.
Po instalacji wydań nie są wymagane zmiany w bazie danych, ale zalecane jest uruchomienie analizatora bazy - wprowadzono optymalizacje, które warto zastosować. Szczegóły obu advisories na typo3.org/security; pełny przegląd tegorocznych luk prowadzimy w naszym przewodniku.
CRA w życiu od 11 września
11 września 2026 zaczął obowiązywać pierwszy wiążący element unijnego Cyber Resilience Act: obowiązek raportowania aktywnie wykorzystywanych podatności i poważnych incydentów przez producentów oprogramowania do ENISA i krajowych organów - z pierwszym powiadomieniem w ciągu 24 godzin. Pełne stosowanie rozporządzenia nastąpi w grudniu 2027 roku, ale od teraz część obowiązków jest realna.
Dla ekosystemu TYPO3 oznacza to, że przygotowania, o których pisaliśmy w ostatnich miesiącach - rola opiekuna oprogramowania open source, udział Association w grupie roboczej przy Eclipse Foundation, dodatkowy budżet na zgodność - przeszły z fazy przygotowań do fazy działania. Dla agencji i producentów rozszerzeń sprzedających komercyjnie oprogramowanie na TYPO3 obowiązek raportowania jest już ich własnym obowiązkiem.
Dla właścicieli stron bezpośredni wpływ jest na razie niewielki - CRA dotyczy producentów, nie użytkowników. Pośredni jest jednak wyraźny: dostawcy rozszerzeń będą musieli szybciej łatać i jawniej komunikować podatności, co z czasem podniesie poziom bezpieczeństwa całego ekosystemu.
Sezon campów: Monachium, Erfurt, Kolonia
TYPO3 Camp München (12-13 września)
Camp ten obchodził dziewiętnastą edycję. Ponad sto osób spotkało się w centrum kulturalnym pod Monachium w formule barcampu: program powstaje na miejscu, z tego, co uczestnicy chcą usłyszeć i co inni potrafią opowiedzieć. Tematy mieszają AI, biznes i społeczność. Podczas wydarzenia odbył się też okrągły stół o tym, jak rozwijać campy TYPO3 jako format.
TYPO3 University Days (15-16 września, Erfurt)
Wydarzenie z polskiej perspektywy najciekawsze. Po raz pierwszy zorganizowało je wspólnie pięć uczelni z Turyngii, a tematyka pokrywa się niemal jeden do jednego z tym, co opisywaliśmy w artykule o polskich użytkownikach TYPO3: relaunche, instalacje wielowitrynowe, dostępność, governance, przepływy redakcyjne i długoterminowa utrzymywalność. Niemieckie uczelnie mają własne, cykliczne forum wymiany doświadczeń - w Polsce, gdzie na TYPO3 działają AGH, UE Katowice czy uczelnie szczecińskie, takiego formatu wciąż nie ma. Na miejscu dostępny był egzamin certyfikacyjny.
DMEXCO (23-24 września, Kolonia)
Największe europejskie targi marketingu cyfrowego, na których TYPO3 od lat pokazuje się jako platforma dla przedsiębiorstw. Decydenci marketingowi z DACH poznają tam TYPO3 w otoczeniu komercyjnych platform enterprise.
Konsultacje zamknięte, harmonogram ustalony Governance
6 września zakończyły się konsultacje proponowanych Zasad działania jednostek TYPO3 - dokumentu, który ma zdefiniować, jak projekt będzie zorganizowany od listopada. Zarząd Association opublikował we wrześniu dwa protokoły posiedzeń - z 2 i 16 września - które porządkują harmonogram reformy:
• koniec października - nadzwyczajne walne zgromadzenie online w sprawie zmian statutowych i procedury petycji,
• 4-5 listopada - dzień startowy nowych jednostek w Düsseldorfie,
• 6 listopada - wstępne działanie nowej struktury,
• 1 stycznia 2027 - pełne wdrożenie budżetowe.
Z protokołu z 2 września wynika też decyzja, o której pisaliśmy w sierpniowym podsumowaniu: powołanie Komitetu Sektora Publicznego zostało odłożone do 2027 roku. Dla polskiego sektora publicznego - najważniejszego odbiorcy TYPO3 w kraju - oznacza to, że jego głos w projekcie reprezentują na razie agencje znające go z praktyki, nie formalne ciała.
Warto obserwować październikowe walne: to pierwsze formalne głosowanie nad strukturą, która zadecyduje o tym, jak TYPO3 będzie rozwijane i finansowane w kolejnych latach.
Playbook dla agencji i cisza wokół TYPO3 Suite Ekosystem
29 września na news.typo3.com ukazał się tekst „Building Business with TYPO3: A 90-Day Playbook for Agencies” - praktyczny przewodnik dla agencji wchodzących w ekosystem: jak budować kompetencje, pozycjonować ofertę i zdobywać pierwszych klientów w ciągu kwartału. Obok sierpniowego poradnika wyboru agencji dla klientów powstaje zestaw, który porządkuje rynek z obu stron.
Czego natomiast we wrześniu nie było: zapowiedzianej na ten miesiąc oficjalnej komunikacji o „TYPO3 Suite”. Lipcowe Dialogue Days obiecywały, że koncepcja i wstępna struktura komercyjna będą gotowe do ogłoszenia we wrześniu - do końca miesiąca komunikatu nie było. Możliwe, że temat został podporządkowany reformie governance i wróci po listopadowym starcie jednostek. Odnotowujemy to bez spekulacji: Suite pozostaje konceptem, TYPO3 pozostaje open source na licencji GPL.
Październik z dwoma twardymi terminami Co przed nami
• 3 października - termin rejestracji podmiotów w systemie S46 (NIS2/KSC). Kto nie zdążył, powinien zarejestrować się mimo to.
• 13 października - planowane wydania serwisowe 14.3.8 i 13.4.36.
• 15-17 października - TYPO3 Camp Berlin; 19-22 października - Community Sprint w Düsseldorfie z egzaminami certyfikacyjnymi; 20-21 października - Open Source CMS Conference w Utrechcie.
• Koniec października - nadzwyczajne walne zgromadzenie TYPO3 Association online.
• 31 października - koniec darmowego wsparcia bezpieczeństwa dla TYPO3 v12. Został miesiąc.
• 4-5 listopada - dzień startowy nowych jednostek TYPO3 w Düsseldorfie.
Dwa z tych terminów dotyczą polskich instalacji bezpośrednio i nieodwołalnie: NIS2 i v12. Pierwszy to obowiązek prawny, drugi - techniczny. Oba przypadają na ten sam miesiąc.
Aktualizacja Core do 14.3.7 / 13.4.35Zaktualizuj Core do 14.3.7 / 13.4.35. Na v14 od 14.2.0 - aktualizacja wysokiego priorytetu.
Analiza baz danychPo aktualizacji uruchom analizator bazy danych - wydania zawierają optymalizacje.
Uprawnienia backenduPrzejrzyj uprawnienia administratorów Backendu: czy każdy powinien mieć status opiekuna systemu? Wrześniowa luka dotyczyła dokładnie tego rozróżnienia.
Rejestracja w systemie S46 (NIS2/KSC)Podlegasz NIS2? Termin rejestracji to 3 października. Jeśli minie - zarejestruj się mimo to i udokumentuj przyczynę.
Migracja?Jesteś na v12? Został miesiąc. Decyzja musi zapaść w tym tygodniu: migracja etapowa, ELTS jako pomost, albo świadome ryzyko.
RaportyProdukujesz lub sprzedajesz rozszerzenia TYPO3? Od 11 września obowiązek raportowania podatności wg CRA dotyczy również Ciebie.
Najczęściej zadawane pytania
Dla v14 w wersjach 14.2.0 do 14.3.6 - tak, ze względu na advisory wysokiej wagi. Dla v13 i ELTS - umiarkowanie; luka w kreatorze lokalizacji wymaga zalogowanego użytkownika. W obu przypadkach aktualizacja jest szybka i bez zmian w bazie.
Jeśli tylko ją prowadzisz - bezpośrednio nie; CRA obejmuje producentów oprogramowania. Jeśli Twoja organizacja tworzy lub sprzedaje rozszerzenia TYPO3 - od 11 września obowiązek raportowania dotyczy Ciebie.
Administrator ma pełny dostęp do treści i konfiguracji strony w Backendzie. Opiekun systemu (system maintainer) to dodatkowe uprawnienie do narzędzi instalacyjnych i konfiguracji samej instalacji. Dobra praktyka: opiekunów jak najmniej, i nie każdy administrator nim jest.
Zapowiedzianej na wrzesień komunikacji nie było. Temat pozostaje otwarty; prawdopodobnie wróci po listopadowej reformie struktury projektu. TYPO3 pozostaje open source na licencji GPL.
O autorze
Dr Blitz-Weblab to agencja wyspecjalizowana wyłącznie w TYPO3, ze statusem TYPO3 Silver Member i biurem w Krakowie. Od ośmiu lat zajmujemy się tylko tym jednym systemem - dla klientów w Polsce i krajach DACH, od instytucji publicznych i uczelni po fundacje i firmy produkcyjne. Śledzimy każde advisory TYPO3 i wdrażamy łatki u klientów utrzymaniowych w dniu publikacji.
Jesteś na v12 i nie masz jeszcze planu? Został miesiąc. Bezpłatny audyt przedmigracyjny z raportem w 48 godzin: telefon: 12 333 44 01. email: [email protected].