Veraltete Extensions erkennen, bevor sie zum Risiko werden
Eine Extension wird selten an einem einzelnen Tag zum Risiko. Sie wird es schleichend, während der Maintainer die Pflege einstellt und niemand es bemerkt, bis eine Schwachstelle bekannt wird, für die kein Patch mehr kommt. Wer die Warnzeichen kennt, muss nicht auf diesen Moment warten.
Die Warnzeichen im Einzelnen
Das letzte Release liegt lange zurück, gemessen an TYPO3-Hauptversionszyklen, nicht am Kalender allein. Eine Extension ohne Update seit zwei oder mehr TYPO3-Hauptversionen hat entweder keinen aktiven Maintainer mehr oder wurde bewusst eingefroren, beides ist für den produktiven Einsatz relevant.
Das öffentliche Repository zeigt keine Aktivität. Offene Issues ohne Antwort, keine Commits über einen langen Zeitraum, keine Reaktion auf gemeldete Kompatibilitätsprobleme: Diese Signale lassen sich am TER-Eintrag oder am verlinkten Repository direkt ablesen.
Die Extension unterstützt die aktuelle TYPO3-Hauptversion nicht. Fehlt die Kompatibilität zur aktuellen LTS-Version, ist das ein direktes Signal, unabhängig davon, ob die eigene Installation diese Version schon einsetzt.
Es gibt keine dokumentierte Kompatibilitätsliste oder Update-Historie. Eine Extension ohne nachvollziehbare Versionshistorie lässt sich schwer gegen die eigene TYPO3-Version einschätzen, das Risiko liegt dann im Unbekannten, nicht in einem konkret benannten Problem.
Was mit diesen Signalen zu tun ist
Ein einzelnes Warnzeichen ist noch kein Grund zur sofortigen Deinstallation, mehrere gleichzeitig schon eher. Bei Extensions mit erkennbaren Warnzeichen lohnt sich die Frage nach einer aktiv gepflegten Alternative mit vergleichbarem Funktionsumfang, oder ob die Funktion inzwischen im TYPO3-Core selbst oder in ContentBlocks abgedeckt ist. Lässt sich die Funktion nicht ersetzen und ist sie unverzichtbar, ist eine bewusste, dokumentierte Entscheidung für den Weiterbetrieb mit erhöhter eigener Beobachtung die ehrlichere Option als eine unbemerkte Weiternutzung.
Wie sich Extensions grundsätzlich in Risikoklassen einordnen lassen und wann ein Ersatz sich lohnt, ordnen wir ausführlich in TYPO3-Extensions: Pflegen, kürzen, ersetzen ein. Wie diese Einschätzung in eine vollständige Sicherheitsprüfung einer bestehenden Installation einfließt, beschreiben wir auf der Seite TYPO3-Sicherheit für bestehende Installationen.
Wer diese Prüfung nicht laufend selbst durchführen möchte, deckt unser Wartungsvertrag genau diesen Punkt mit ab.
