Критическая уязвимость в PHP: что делать владельцам коробочного Битрикс24 и сайтов на 1С-Битрикс
Если читать некогда
- Вопрос
- Разработчики PHP сообщили о двух критических уязвимостях, каждая — 9,2 балла из 10: через них можно выполнить чужой код на сервере без входа на портал. Исправления вышли 21 октября 2026 года в 17:00 по Москве. Уязвимости в самом PHP, а не в Битриксе, поэтому касаются любого коробочного Битрикс24 и любого сайта на «1С-Битрикс: Управление сайтом». Самый рискованный вариант — Apache с mod_php, на нём работает BitrixVM.
- Главное
- Обновить PHP на сервере. Обновление Битрикса эту дыру не закроет. Исправления вышли, об уязвимостях знают все, и риск для необновлённых серверов растёт с каждым днём.
- По вариантам
-
- облачный Битрикс24 — ничего делать не нужно, серверы обслуживает вендор;
- свой сервер, PHP 8.2–8.5 — обновить PHP внутри своей версии: до 8.5.12, 8.4.27, 8.3.36 или 8.2.35;
- свой сервер, PHP 8.1 и старше — обычных обновлений не будет, нужен переход на новую версию;
- виртуальный хостинг — PHP обновляет хостинг, уточнить у него сроки.
- Сколько стоит
- У платинового партнёра Битрикс24 «Бизнес Интегратор» обновление внутри версии — разовая задача: 3 000 ₽ в час, если мы интегратор на портале, 4 000 ₽ по базовой ставке, обычно около часа на сервер. Переход на новую версию PHP — отдельная услуга, от 20 000 ₽.
Что сделать сейчас: узнать версию PHP на своём сервере, сделать резервную копию и обновить PHP — от версии зависит, хватит обновления или нужен переход.
20 октября 2026 года разработчики PHP предупредили о двух критических уязвимостях, каждая оценена в 9,2 балла из 10. 21 октября в 17:00 по Москве вышли исправления: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимости не в Битриксе, а в PHP — языке, на котором работает сервер. Поэтому они касаются любого коробочного Битрикс24, любого сайта на «1С-Битрикс: Управление сайтом» и вообще любого сайта на PHP.
Ниже — простым языком: чем опасны уязвимости, почему тянуть с обновлением нельзя, что делать в вашем случае и что проверить после обновления.
Чем опасны эти уязвимости
Обе уязвимости позволяют выполнить чужой код на сервере — то есть получить управление сайтом или порталом. Для атаки не нужен вход на портал: хватает одного запроса из интернета, и срабатывает он раньше, чем начинает работать сам Битрикс.
О массовых атаках разработчики PHP пока не сообщали. Но рабочий способ взлома показан, а исправления опубликованы — по ним видно, где была ошибка.
Дыра не в Битриксе, а в PHP
PHP — это программа на сервере, которая выполняет код сайта или портала. Битрикс написан на PHP, как и WordPress, и большинство самописных сайтов. Если ошибка в самом PHP, она есть у всех, кто на нём работает, независимо от того, насколько свежая версия Битрикса стоит.
Почему тянуть с обновлением опасно
С выходом исправлений о дыре знают все, в том числе злоумышленники. Вот как это обычно происходит:
Об ошибке знали в основном разработчики PHP. Дыра уже была, но искать её было почти некому.
Вышли новые версии PHP и описание уязвимостей. Код открыт: видно, что именно исправили.
Злоумышленники сравнивают старый и новый код, понимают, куда бить, и могут массово проверять сайты. Для Apache с mod_php рабочий способ взлома уже показан.
Необновлённые серверы остаются открыты для атаки, о которой знают все. Чем дольше тянуть, тем выше шанс попасть под массовую проверку.
Итог простой: кто обновился в первые дни — закрыт. Кто не обновит — останется с дырой, о которой знают все, в том числе те, кто массово проверяет сайты на уязвимости.
Что делать: зависит от того, где работает портал
| Где работает | Что делать |
|---|---|
| Облачный Битрикс24 | Ничего. Серверы обслуживает сам Битрикс24. На время установки исправлений вендор временно ограничивает часть возможностей облака — это ожидаемо, о восстановлении он сообщит отдельно |
| Коробка или сайт на своём сервере, PHP 8.2–8.5 | Сделать резервную копию и обновить PHP внутри своей версии: до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Если в репозитории сервера пока старая версия — обновить список пакетов или подождать: зеркала догоняют с задержкой |
| Коробка или сайт на своём сервере, PHP 8.1 и старше (8.0, 7.x) | Обычных обновлений для этих версий не будет. Разработчики выложили только исправления, которые администратор собирает сам. Надёжный путь — переход на поддерживаемую версию PHP |
| Сайт на виртуальном хостинге | PHP обновляет хостинг. Уточните у него сроки и проверьте, какая версия PHP выбрана для сайта в панели хостинга |
У PHP 8.2 поддержка заканчивается 31 декабря 2026 года. Если у вас 8.2, обновитесь сейчас до 8.2.35, а переход на новую версию запланируйте до конца года.
Обновить PHP или сменить версию — в чём разница
Это частый вопрос, и от ответа зависит объём работы.
Например, с 8.4.26 на 8.4.27: меняется только последняя цифра.
- это и нужно сейчас для версий 8.2–8.5;
- исправляются ошибки, поведение языка не меняется;
- доработки и модули, как правило, не замечают разницы;
- перерыв в работе — минуты на перезапуск.
Например, с 8.1 на 8.3: меняется вторая цифра.
- нужно, если версия больше не поддерживается: 8.1, 8.0, 7.x;
- часть старого кода может перестать работать;
- доработки и сторонние модули проверяются заранее;
- это отдельная работа, обычно в выходной день, а не обновление за вечер.
Как узнать свою версию PHP
В административной части Битрикса: Настройки → Инструменты → Проверка системы. Версия PHP есть в отчёте. Если сервер обслуживает администратор или интегратор — спросите у него, это вопрос одной минуты.
Важно смотреть версию именно той части PHP, которая обслуживает сайт. На одном сервере их бывает несколько, и версия в консоли может отличаться от версии, на которой работает портал.
Что сделать сейчас
- Узнать версию PHP — от неё зависит, хватит обновления или нужен переход.
- Сделать резервную копию портала и попросить у хостинга снимок сервера, чтобы откатиться за минуты, если обновление пойдёт не так.
- Обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — смотря какая версия стоит. Обновление — это перезапуск, портал будет недоступен несколько минут.
Если обновиться сразу нельзя: временные меры
Разработчики PHP опубликовали меры на случай, когда обновиться сразу нельзя. Они прямо пишут, что это не полная защита: меры снижают риск до обновления, но не заменяют его. Настраивает их администратор сервера:
- memory_limit = -1 через php_admin_value — в пуле PHP-FPM или в настройках Apache, без возможности переопределить из сайта;
- ограничить post_max_size (8M, если на сайт ничего не загружают, 32M — если загружают) и поставить upload_max_filesize меньше него; на веб-сервере или прокси ограничить размер запроса, число полей, частей формы и заголовков;
- session.upload_progress.enabled = 0 в php.ini, в пуле PHP-FPM или в настройках сервера, затем перезапустить все процессы PHP; через ini_set() и .user.ini эта мера не работает;
- на PHP 8.5 — fatal_error_backtraces = 0.
Ещё одна мера, которая точно снижает риск, — закрыть доступ к порталу извне: например, пускать только из офиса или через VPN. Для внутреннего портала это иногда реально, для сайта — нет.
Что проверить после обновления
Обновление PHP внутри версии обычно проходит незаметно, но проверить стоит то, чем пользуются каждый день:
- вход в портал и смена пароля;
- загрузка файлов, Диск, вложения в задачах и CRM;
- формы на сайте, корзина и оформление заказа, если это интернет-магазин;
- интеграции: 1С, телефония, обмен с сайтом;
- журнал ошибок PHP за первые часы после обновления.
Сколько стоит, если сделаем мы
Платиновый партнёр Битрикс24 «Бизнес Интегратор» берёт эти работы двумя способами — в зависимости от версии PHP на вашем сервере.
Разовая задача: резервная копия, обновление, перезапуск, проверка по списку выше. Обычно около часа на сервер. 3 000 ₽ в час, если мы интегратор на вашем портале, и 4 000 ₽ по базовой ставке.
Отдельная услуга «Обновление коробочного Битрикс24 и сервера»: переводим портал на поддерживаемую версию PHP, при необходимости обновляем BitrixVM, ставим обновления портала, которые не вставали на старом PHP, и проверяем работу. 20 000 ₽, если лицензия куплена у нас и на портале нет доработок, которые нужно править, 30 000 ₽ — базовая стоимость. Исправление доработок и перенос на новый сервер оцениваем до начала работ.
Частые вопросы
Нет. Серверы облака обслуживает сам Битрикс24. На время установки исправлений вендор временно ограничивает часть возможностей облака и сообщает о восстановлении отдельно.
Нет. Уязвимости в PHP, а не в Битриксе. PHP обновляется отдельно, на уровне сервера, и «Обновление платформы» его не затрагивает.
Для версий 8.2–8.5 достаточно обновить PHP внутри своей версии: до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Для 8.1 и более старых обычных обновлений не будет — разработчики выложили только исправления, которые администратор собирает сам. Надёжный путь — переход на поддерживаемую версию.
Код исправлений открыт, и по нему видно, где была ошибка. Необновлённые серверы остаются с уязвимостью, о которой знают все, а для Apache с mod_php рабочий способ взлома уже показан.
Нет. Атака идёт обычным запросом из интернета и срабатывает раньше, чем начинает работать сам Битрикс. Поэтому пароли и права пользователей от неё не защищают.
У «Бизнес Интегратора» — 20 000 ₽, если лицензия куплена у нас и на портале нет доработок, которые нужно править, и 30 000 ₽ — базовая стоимость. Исправление доработок и перенос на новый сервер оцениваются до начала работ.
В административной части Битрикса: «Настройки → Инструменты → Проверка системы». Если сервер обслуживает администратор или интегратор, спросите у него.
Напишите, где работает портал или сайт. Скажем, какая там версия PHP, хватит ли обновления или нужен переход, и назовём срок.
Читайте дальше
Разборы и инструкции из нашей практики — по Битрикс24, интеграциям и ИИ.
