В PHP экстренно закрыли две критические уязвимости: что делать владельцам сайтов на 1С-Битрикс

Что произошло 21 октября 2026 года

Команда разработчиков PHP выпустила исправления двух критических уязвимостей:

CVE-2026-109618 — ошибка обработки памяти при нехватке ресурсов (Out-of-Memory), которая может привести к повреждению внутреннего состояния PHP и выполнению постороннего кода.
CVE-2026-109619 — ошибка управления внутренним состоянием PHP, при которой данные предыдущего запроса могут быть некорректно использованы при обработке последующих запросов.

Обе уязвимости получили оценку CVSS 4.0 — 9,2 из 10, что соответствует критическому уровню опасности.

Наиболее серьёзный подтверждённый сценарий связан с выполнением PHP через Apache mod_php. Однако риск существует и для других распространённых серверных конфигураций, включая PHP-FPM.

Возможность конкретной атаки зависит от конфигурации сервера, установленной сборки PHP и других технических условий.

Важно понимать: наличие уязвимой версии PHP ещё не означает, что сайт уже взломан. Но эксплуатация подобных ошибок потенциально может привести к серьёзным последствиям, поэтому исправления необходимо устанавливать без неоправданной задержки.

Официальный источник: PHP Security Advisory от 21 октября 2026 года.

Почему под угрозой оказались сайты на 1С-Битрикс

PHP — серверный язык программирования, который используется для работы многих систем управления сайтами.

На PHP работают сайты на «1С-Битрикс: Управление сайтом», WordPress и других популярных CMS.

Уязвимости обнаружены не в коде самого Битрикс, а в PHP — внешнем серверном компоненте, который необходим для работы сайта.

Поэтому даже полностью обновлённый Битрикс может использовать уязвимую версию PHP.

Обычное обновление CMS через SiteUpdate не обновляет интерпретатор PHP на сервере. Это две разные процедуры.

Компания «1С-Битрикс» отдельно предупредила владельцев сайтов и коробочных порталов Битрикс24 о необходимости установить исправления серверного PHP.

При этом нужно различать тип используемого продукта:

Сайты на «1С-Битрикс: Управление сайтом». Необходимо проверить PHP на хостинге или сервере, где размещён сайт.

Коробочный Битрикс24. Обновление PHP выполняет специалист, обслуживающий сервер портала.

Облачный Битрикс24. Обновлением серверного окружения занимается сам поставщик облачного сервиса. Пользователям не нужно самостоятельно устанавливать PHP.

Источник: официальное предупреждение 1С-Битрикс.

Какие версии PHP необходимо обновить

21 октября 2026 года разработчики PHP выпустили исправленные версии для поддерживаемых веток.

Установленная ветка	Версия с исправлениями
PHP 8.5	8.5.12 и новее
PHP 8.4	8.4.27 и новее
PHP 8.3	8.3.36 и новее
PHP 8.2	8.2.35 и новее
PHP 8.1 и старше	Подтверждённые исправления поставщика или переход на поддерживаемую версию

Например, если сайт работает на PHP 8.4.26, необходимо установить исправленный выпуск ветки 8.4.

Если проект использует PHP 7.4, 8.0 или 8.1, ситуация сложнее: эти версии больше не получают стандартные обновления безопасности от команды PHP.

Для некоторых устаревших веток разработчики подготовили исправления исходного кода. Готовые обновления также могут предоставляться поставщиками Linux-дистрибутивов или расширенной технической поддержки.

Отдельно стоит учитывать backport-патчи — исправления, которые поставщик переносит в более старую сборку без изменения основного номера версии.

Поэтому одного номера PHP не всегда достаточно для окончательного вывода о безопасности. Нужно проверить информацию о конкретном установленном пакете.

Не следует сразу переводить старый коммерческий сайт с PHP 7.4 на PHP 8.5 без проверки совместимости. Резкое обновление способно нарушить работу шаблона, модулей, форм и интеграций.

Чем опасны уязвимости PHP для бизнеса

Возможное удалённое выполнение кода — одна из наиболее серьёзных категорий уязвимостей серверного программного обеспечения.

При успешной эксплуатации злоумышленник потенциально может выполнять действия в пределах доступных PHP-процессу полномочий.

В зависимости от конфигурации сервера возможны следующие последствия:

Взлом сайта. Вредоносный код может быть внедрён в доступные для изменения файлы.
Утечка информации. Под угрозой могут оказаться данные, доступные серверному приложению.
Нарушение работы сайта. Могут перестать открываться страницы, отправляться формы или оформляться заказы.
Перенаправление пользователей. Посетителей могут переводить на мошеннические ресурсы.
Потеря заявок и рекламного бюджета. Бизнес может продолжать оплачивать привлечение пользователей на повреждённый сайт.
Репутационные последствия. Восстановление доверия клиентов после серьёзного инцидента иногда оказывается сложнее самого технического ремонта.

При этом успешная атака не обязательно приводит к немедленному отключению сайта.

Некоторые изменения могут оставаться незаметными для владельца продолжительное время.

Поэтому проверять стоит не только факт доступности страниц, но и общее техническое состояние сайта, наличие исправлений и признаки подозрительной активности.

Как проверить версию PHP на сайте на 1С-Битрикс

Первое, что необходимо сделать, — определить, какая версия PHP фактически обслуживает сайт.

Способ 1. Проверка через хостинг

Откройте панель управления хостингом и найдите раздел управления PHP.

Название зависит от провайдера: «Версия PHP», «Настройки PHP», «Управление PHP» или аналогичный.

Здесь обычно можно посмотреть установленную версию и доступные обновления.

Однако для окончательного подтверждения безопасности важно выяснить не только номер версии, но и наличие исправлений конкретных уязвимостей.

Способ 2. Проверка через административную панель Битрикс

На некоторых установках «1С-Битрикс: Управление сайтом» доступен инструмент:

Настройки → Инструменты → Командная PHP-строка

Если инструмент доступен и у вас есть необходимые права администратора, можно выполнить следующий диагностический код:

echo '<pre>';
echo 'PHP VERSION: ' . PHP_VERSION . "\n";
echo 'PHP SAPI: ' . PHP_SAPI . "\n";
echo 'UPLOAD PROGRESS: ' .
    ini_get('session.upload_progress.enabled') . "\n";
echo '</pre>';

Этот код ничего не изменяет на сайте. Он выводит используемую версию PHP, способ её выполнения и значение настройки отслеживания загрузки файлов.

Результаты не стоит публиковать в открытом доступе без необходимости.

Важное замечание: версия PHP, которую показывает команда php -v в SSH, может отличаться от версии, обрабатывающей запросы посетителей сайта.

Если используются несколько серверов, контейнеров или PHP-FPM-пулов, необходимо проверить каждый из них.

Итоговую проверку установленного исправления лучше поручить специалисту, который имеет доступ к серверному окружению.

Как правильно обновить PHP и не сломать сайт

Экстренное обновление требует оперативности, но не должно превращаться в хаотичное изменение настроек рабочего сервера.

Рекомендуемый порядок действий следующий.

Шаг 1. Определить установленную версию PHP

Проверяем используемую версию, тип сервера и наличие исправленных пакетов у хостинг-провайдера.

Одновременно уточняем, кто отвечает за обновление серверного окружения.

Шаг 2. Сделать резервную копию

Перед изменениями необходимо сохранить:

файлы сайта;
базу данных;
важные настройки серверного окружения;
конфигурации критичных интеграций.

Резервная копия должна быть пригодна для восстановления.

По возможности обновление сначала проверяется на тестовом окружении.

Шаг 3. Проверить совместимость

Необходимо учитывать версию Битрикс, шаблоны, сторонние модули и индивидуальные доработки.

Это особенно важно для проектов, которые годами работали на устаревших версиях PHP.

Задача состоит не просто в установке обновления, а в сохранении работоспособности проекта после него.

Шаг 4. Установить исправления безопасности

Обновление выполняется через средства хостинга, администратора сервера или штатный механизм установки серверных пакетов.

Для поддерживаемых веток PHP рекомендуется использовать соответствующие исправленные версии.

Если установлены специальные пакеты Linux или коммерческие LTS-сборки, нужно подтвердить, что исправления присутствуют именно в них.

Шаг 5. Перезапустить PHP-процессы

После установки обновления необходимо перезапустить соответствующие службы, чтобы работающие процессы начали использовать исправленную сборку.

В зависимости от серверной конфигурации это могут быть PHP-FPM, Apache с модулем PHP или процессы контейнеризированного приложения.

При использовании PHP-FPM перезапуска только nginx недостаточно.

Шаг 6. Проверить сайт после обновления

На коммерческом сайте важно протестировать не только открытие главной страницы.

В первую очередь проверяем:

формы заявок и отправку уведомлений;
авторизацию и личный кабинет;
каталог и карточки товаров;
корзину и оформление заказов;
AJAX и интерактивные элементы;
интеграции с CRM и 1С;
административную панель;
основные разделы сайта.

После проверки стоит изучить журналы ошибок сервера и PHP.

Если есть основания подозревать попытки эксплуатации уязвимостей, потребуется отдельный анализ безопасности.

Что делать, если обновить PHP прямо сейчас невозможно

Иногда исправленный пакет ещё недоступен у провайдера или сайт работает на старой версии PHP, для которой необходимо отдельно готовить обновление.

В этом случае нельзя считать проблему решённой.

Разработчики PHP опубликовали рекомендации по временному снижению рисков.

Одна из мер — отключить отслеживание прогресса загрузки файлов:

session.upload_progress.enabled = Off

Эта настройка может уменьшить риск определённых вариантов эксплуатации одной из уязвимостей.

Однако она не устраняет обе проблемы полностью и не заменяет обновление PHP.

Изменение должно выполняться на уровне подходящей серверной конфигурации до обработки запросов, а затем необходимо перезапустить рабочие процессы PHP.

Для серверного окружения BitrixVM 9.x компания «1С-Битрикс» приводит отдельные рекомендации по применению этой настройки.

Также разработчики PHP предлагают дополнительные временные меры, связанные с ограничениями ресурсов, обработкой запросов и серверной конфигурацией. Некоторые из них способны изменить поведение приложения или повлиять на доступность сайта, поэтому применять их без технической оценки не следует.

Если исправления недоступны, необходимо запросить у хостинга сроки их предоставления и при необходимости рассмотреть временное ограничение внешнего доступа.

Полноценным решением остаётся установка исправленной сборки PHP.

Частые вопросы

Если Битрикс обновлён до последней версии, сайт защищён?

Не обязательно. Эти уязвимости находятся непосредственно в PHP.

Обновление ядра и модулей «1С-Битрикс: Управление сайтом» не заменяет обновление серверного интерпретатора PHP.

Нужно ли обновлять PHP, если сайт работает нормально?

Да, если используется уязвимая сборка.

Уязвимости безопасности не обязательно проявляются как ошибки в работе сайта. Внешне проект может функционировать совершенно нормально.

Можно ли проверить безопасность сайта обычным антивирусом?

Антивирус или сканер способен выявить некоторые признаки заражения, но не заменяет проверку серверной версии PHP и установленных исправлений.

Нужно ли обязательно переходить на PHP 8.5?

Нет.

В большинстве случаев разумнее сначала определить, доступен ли исправленный выпуск уже используемой поддерживаемой ветки PHP.

Переход между основными версиями требует отдельной проверки совместимости.

Может ли хостинг установить исправления самостоятельно?

Да. На управляемом хостинге обновление серверного программного обеспечения часто входит в обязанности провайдера.

Однако желательно получить подтверждение, что необходимый патч действительно установлен и используется работающим сайтом.

Если нейросеть проверила код сайта и не нашла уязвимостей, этого достаточно?

Нет.

Проверка исходного кода сайта и проверка установленной сборки PHP — разные задачи.

Даже полностью корректный код приложения не устраняет уязвимости самого интерпретатора.

Проверка безопасности и обновление PHP для сайтов на 1С-Битрикс

Если вы получили предупреждение от «1С-Битрикс», хостинга или специалистов по безопасности, но не знаете, затрагивает ли проблема ваш сайт, разумно начать с технической диагностики.

Lambert/Digital помогает владельцам сайтов на 1С-Битрикс организовать проверку серверного окружения и установку необходимых обновлений.

В зависимости от состояния проекта работы могут включать:

Проверку фактической версии PHP.
Определение наличия исправлений безопасности.
Анализ совместимости текущего сайта с обновлением.
Подготовку резервной копии.
Установку обновлений при наличии необходимых доступов либо взаимодействие с хостингом и системным администратором.
Проверку работоспособности сайта после обновления.
Подготовку краткого отчёта о выполненных действиях и оставшихся рисках.

Стоимость определяется после оценки технического состояния сайта, используемого серверного окружения и необходимых работ.

Заказать проверку и техническую поддержку сайта на Битрикс

Если сайт уже перестал работать или появились признаки взлома, можно обратиться за срочной технической помощью.

Как избежать подобных проблем в будущем

Ситуация с уязвимостями PHP показывает, что безопасность сайта зависит не только от обновлений CMS.

Даже исправно работающий Битрикс может использовать устаревший PHP, небезопасные настройки сервера или давно не обновлявшиеся сторонние компоненты.

Поэтому техническое сопровождение коммерческого сайта должно включать регулярную проверку серверного окружения, обновлений безопасности, резервных копий и критичных пользовательских функций.

Особенно важно поддерживать в рабочем состоянии формы заявок, систему оплаты и интеграции с CRM.

Отдельное направление технического контроля — производительность. Устаревшая конфигурация или неэффективная работа серверных компонентов могут не только создавать риски безопасности, но и негативно влиять на скорость загрузки страниц.

Подробнее об этом — в материале «Почему сайт на 1С-Битрикс работает медленно и как его ускорить».

Итоги: что необходимо сделать сейчас

21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей, потенциально позволяющих выполнять посторонний код на сервере без авторизации.

Проблема затрагивает не только Битрикс, но и другие веб-приложения, использующие уязвимые сборки PHP.

Владельцам сайтов рекомендуется без задержки проверить используемую версию PHP, подтвердить наличие исправлений безопасности и организовать обновление.

После установки патчей необходимо проверить основные функции сайта и убедиться, что обновлённая версия действительно используется сервером.

Если собственных технических ресурсов для такой работы нет, проверку и обновление можно доверить специалисту.

Источники

Информация актуальна на 22 октября 2026 года. Перед обновлением необходимо сверять версии и инструкции с актуальными рекомендациями разработчиков PHP и поставщика серверного окружения.