Wahrscheinlich haben es die meisten von Euch mitbekommen. Durch das Herausfinden eines zu simplen Backend-Passworts (wahrscheinlich sowas wie “mutti”…) eines Benutzers hat ein “Hacker” Zugang zu dem Backend von typo3.org erlangt. Natürlich ist das keine schöne Sache.

Wenn ich mir aber das “Echo” in den einschlägigen Webseiten ansehe, bin ich erschreckt.

Es ist festzuhalten, dass an vielen Stellen davon die Rede ist, dass die typo3.org-Webseite gehackt wurde. Dies verleitet leider viele dazu, zu behaupten, der “Angreifer” sei durch eine Sicherheitslücke in TYPO3 in das Backend gelangt – man schaue sich mal die Trolle in dem Heise-Artikel an. Dies ist nicht der Fall. Trotzdem hält sich das Gerücht hartnäckig.

Aus meiner Sicht gibt es zwei Lehren aus dem Fall zu ziehen:

a) Jeder, der etwas schreibt, sollt vorher ein wenig recherchieren um oben genannte Halbwahrheiten erst gar nicht zu verbreiten.

b) TYPO3 braucht eine “Kennwortkomplexitätsprüfung” (ähnlich zu Windows) für BE- und FE-User und es muss Standard werden, dass die FE-User-Passwörter verschlüsselt abgelegt werden. Wäre zumidest die erste Bedingung erfüllt gewesen, dann hätte es diesen “Einbruch” nicht gegeben.

Bisher – toitoitoi waren alle echten Sicherheitlücken in der Regel nicht im TYPO3-Core sondern in schlechten Extensions.

Ach und eins noch: Alle, die immer gleich schreien “Ist doch klar, mit diesem langhaarigebombenlegerPHP”: Klick mich.

Popularity: 1%