Критические уязвимости в PHP: Ваш Битрикс под угрозой (и как это исправить)

Экстренное руководство для администраторов: Критические уязвимости ядра PHP в инфраструктуре 1С-Битрикс

21 октября 2026 года разработчики PHP раскрыли информацию о двух критических уязвимостях (CVE-2026-109618 и CVE-2026-109619), получивших оценку 9,2 из 10 по шкале CVSS 4.0. Уязвимости позволяют злоумышленнику осуществить удаленное выполнение кода (RCE) на сервере через интернет без предварительной авторизации в системе. Угроза актуальна для публичных сайтов, корпоративных порталов (включая коробочные версии Битрикс24) и любых сервисов, доступных извне.

Расширенный план действий для технических специалистов

По заявлению разработчиков ядра PHP, полностью надежной альтернативы обновлению на данный момент не существует. Степень риска определяется версией PHP, конфигурацией сервера и его доступностью из интернета.

1. Инвентаризация инфраструктуры

Выявите абсолютно все используемые версии PHP. Проверять нужно не только production-серверы, но и stage-окружения, личные кабинеты, внутренние веб-сервисы и продукты сторонних поставщиков, содержащие встроенный PHP.

2. Установка официальных патчей

Единственный гарантированный метод защиты — обновление PHP до пропатченных версий. Разработчиками выпущены следующие безопасные релизы:

• 8.2.35
• 8.3.36
• 8.4.27
• 8.5.12

Если вы используете неподдерживаемые версии PHP (например, 7.4 или 8.1), их необходимо экстренно мигрировать на актуальные поддерживаемые ветки.

3. Использование Community-фиксов для BitrixVM

В профильных сообществах системных администраторов «1С-Битрикс» уже распространяются неофициальные патчи для типового окружения BitrixVM. В частности, доступен bash-скрипт php-security-update.sh, предназначенный для автоматизации применения безопасных конфигураций и патчинга для веток PHP 8.2 и 8.4.

Внимание: перед применением любых сторонних bash-скриптов в production-среде обязательно проведите аудит их исходного кода.

4. Мониторинг и контроль (SOC / SIEM)

Сам факт использования PHP не означает автоматической компрометации. Однако британский центр кибербезопасности (NCSC) фиксирует появление Proof-of-Concept (PoC) эксплойтов.

• Усильте мониторинг запросов и событий безопасности (WAF, Nginx access/error logs).
• Специалистам SOC необходимо проверить журналы на наличие индикаторов компрометации (IoC).
• После установки обновлений следует документально подтвердить фактическое устранение уязвимостей в рамках вашего процесса управления уязвимостями.

FAQ для системных администраторов и DevOps

— Спасает ли отключение session.upload_progress.enabled = 0?

Нет. Несмотря на то что в некоторых предварительных обсуждениях этот параметр упоминался как вектор атаки, официальные источники и разработчики PHP подтверждают: это не закрывает обе уязвимости. Надежной альтернативы полноценному обновлению нет.

— У нас старый Битрикс на PHP 7.4/8.0, который сломается при переходе на 8.2+. Что делать?

Официальных патчей для этих веток не выпущено, так как они достигли статуса EOL (End of Life). Варианты действий:

1. Немедленно ограничить доступ к серверу (только VPN / IP-фильтрация).
2. Развернуть перед сервером жестко настроенный Web Application Firewall (WAF) с сигнатурами блокировки аномальных POST-запросов и эксплуатации RCE.
3. Форсировать миграцию проекта на актуальную версию ядра Битрикс и PHP 8.2+.

— Как проверить, был ли наш сервер уже взломан?

Анализируйте логи веб-сервера на предмет нетипичных POST-запросов к легальным файлам .php (особенно к bitrix/admin/, index.php), появления новых .php файлов в директориях /upload/ или /bitrix/cache/, а также проверяйте исходящий трафик с сервера на незнакомые IP-адреса. Охват SIEM-системами должен быть максимальным.

— Безопасно ли использовать скрипт php-security-update.sh?

Скрипт является инициативой сообщества для быстрой помощи владельцам серверов.