Критические уязвимости в PHP: что следует сделать пользователям Битрикс24 и владельцам сайтов

Суть проблемы

Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с PHP — технологией, на которой работает серверная часть многих сайтов и корпоративных систем.

Если сервер использует уязвимую версию PHP, злоумышленник потенциально может выполнить на нём свой код без авторизации. Это создаёт риск утечки данных, нарушения работы портала и доступа к информации, которая хранится на сервере.

Для устранения проблемы разработчики PHP выпускают исправления. Поэтому важно проверить версию PHP и установить подходящее обновление.

Как это касается пользователей Битрикс24

Тут важно, какой именно версией Битрикс24 пользуется ваша компания.

Облачный Битрикс24

Если вы работаете в облачной версии, самостоятельно обновлять PHP не нужно. Серверы обслуживает команда Битрикс24, которая отвечает за техническую безопасность инфраструктуры.

Пользователям достаточно следить за официальными сообщениями сервиса и рекомендациями по безопасности.

Коробочный Битрикс24

В коробочной версии портал установлен на собственном сервере компании или на сервере хостинг-провайдера. Поэтому за обновление PHP отвечает системный администратор или специалист, который обслуживает портал.

Важно понимать: обновить только Битрикс24 недостаточно. PHP необходимо обновлять отдельно.

Что нужно сделать владельцам коробочной версии

Чтобы снизить риск атаки, рекомендуется:

1. Проверить версию PHP. Узнайте, какая версия используется на сервере, где работает Битрикс24
2. Установить исправление. Обновите PHP до версии, в которой устранены уязвимости, предварительно проверив совместимость с вашим порталом
3. Проверить работу портала. После обновления убедитесь, что CRM, задачи, бизнес-процессы и интеграции работают корректно
4. Проверить остальные серверы. Если Битрикс24 работает на нескольких серверах или в контейнерах, обновление может потребоваться на каждом из них

Перед обновлением стоит убедиться, что есть актуальная резервная копия.

Если установить исправление сразу невозможно, обсудите с системным администратором временные меры защиты, например, ограничение внешнего доступа к серверу.

Что делать владельцам обычных PHP-сайтов

Уязвимости могут затрагивать не только Битрикс24, но и другие сайты, работающие на PHP: интернет-магазины, сайты компаний, CMS, форумы и собственные веб-приложения.

Владельцам сайтов рекомендуется:

• Уточнить, используется ли PHP. Если сайт размещён на хостинге, информацию о версии можно получить в панели управления, у технической поддержки провайдера или у разработчика сайта
• Проверить уязвимость установленной версии. Сверьте версию PHP с официальными уведомлениями безопасности. Сам факт использования PHP не означает, что сайт обязательно уязвим: риск зависит от конкретной версии и конфигурации
• Обновить PHP до исправленного выпуска. Если сервером управляет хостинг-провайдер, обратитесь в его поддержку и уточните, установлены ли необходимые исправления. При самостоятельном администрировании обновление должен выполнить ответственный специалист
• Проверить совместимость сайта. Перед переходом на другую версию PHP убедитесь, что её поддерживают CMS, плагины, темы, библиотеки и собственный код проекта. По возможности выполните проверку на тестовой копии сайта
• Обновить CMS и компоненты. Установите доступные исправления для системы управления сайтом, плагинов и расширений. Это дополнительная мера защиты, которая не отменяет обновление PHP.
• Проверить резервные копии и восстановление. Убедитесь, что имеются актуальные копии файлов и базы данных, а процедура восстановления работоспособна
• Проверить признаки компрометации. При подозрительной активности изучите журналы веб-сервера и приложения, проверьте недавно изменённые файлы и необычные учётные записи. Если есть признаки взлома, привлеките специалиста по информационной безопасности

Если сайт размещён на управляемом хостинге, владельцу не обязательно выполнять технические операции самостоятельно. Однако следует запросить у провайдера подтверждение, что используемая версия PHP исправлена или не затронута уязвимостями.

Важно

Функции будут восстанавливаться поэтапно после всех проверок безопасности и установки исправлений.

Установка обновления Битрикс24 или CMS не гарантирует устранения уязвимостей в PHP. Серверное ПО необходимо проверять и обновлять отдельно.

При этом не следует считать сайт уязвимым только на основании наличия PHP: сначала необходимо подтвердить, что установленная версия входит в список затронутых выпусков.

Пользователям облачного Битрикс24 следует следить за официальными сообщениями сервиса. Владельцам коробочного Битрикс24 и других PHP-сайтов необходимо проверить используемую версию PHP, установить соответствующие исправления и убедиться, что после обновления сайт или портал работает корректно.