Критические уязвимости PHP: как защитить Битрикс24 и что делать прямо сейчас
Разработчики PHP выпустили обновления, устраняющие две критические уязвимости, которые могут позволить злоумышленникам выполнять произвольный код на сервере без авторизации.
Важно: проблема обнаружена не в самом Битрикс24 или «1С-Битрикс: Управление сайтом», а во внешнем серверном компоненте PHP.
Под угрозой оказались компании, использующие коробочный Битрикс24 и сайты на «1С-Битрикс: Управление сайтом», если перед сервером отсутствует WAF (межсетевой экран веб-приложений) или разрешена загрузка файлов, которая по умолчанию включена.
Что с облачным Битрикс24?
Разработчик уже установил необходимые обновления и завершил проверки безопасности. Облачный Битрикс24 работает в штатном режиме.
Что делать владельцам коробочного Битрикс24?
Необходимо оперативно установить патч на версию PHP с учётом совместимости проекта.
Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Обновление самого Битрикс24 через SiteUpdate не требуется, поскольку не устраняет эти уязвимости. Обновлять необходимо именно PHP на сервере.
Инструкция по обновлению BitrixVM 9.x
-
Подготовьте резервные копии. Убедитесь в сохранности сайта, базы данных и конфигурации сервера.
-
Проверьте доступность пакетов с исправлениями. Обновите сведения о пакетах в подключенных репозиториях. Если исправленной версии нет, потребуется установка совместимых пакетов вручную.
-
Установите обновление PHP вместе с необходимыми зависимостями.
-
Перезапустите необходимые службы. Для конфигурации с Apache и модулем PHP используйте команду:
systemctl restart httpd.service -
Проверьте результат. Убедитесь, что сайт или портал действительно работает на исправленной сборке PHP. Для этого в административном разделе перейдите в подраздел Диагонстика и проверьте Настройки php - там должна быть актуальная версия.
Если система работает на нескольких серверах, обновить необходимо каждый из них.
Отдельное внимание — CentOS 7 (BitrixEnv 7.5.5)
Это устаревшее серверное окружение, в котором необходимые исправления отсутствуют. Компаниям, использующим такие виртуальные машины, необходимо планировать миграцию на актуальное серверное окружение.
Если PHP работает в контейнерах
Необходимо обновить или пересобрать образ приложения с исправленной версией PHP, пересоздать контейнеры с сохранением данных и проверить работу системы после развертывания.
Если используется PHP 7.4, 8.0 или 8.1
Для этих веток необходимо отдельно уточнять наличие исправленных сборок у поставщика. Рекомендуется согласовать со специалистами переход на поддерживаемую версию PHP.
Что делать до установки обновлений?
Использовать временные защитные меры в соответствии с рекомендациями разработчиков PHP. При этом важно понимать, что такие меры лишь снижают риски, но не заменяют установку исправлений.
Подробности — в официальном уведомлении PHP.
Мы следим за критическими обновлениями, контролируем состояние систем наших клиентов в рамках технического сопровождения и принимаем необходимые меры для защиты корпоративной инфраструктуры.
Наши специалисты помогут установить обновления, проверить безопасность серверного окружения и при необходимости организовать миграцию на актуальную версию BitrixVM с сохранением работоспособности портала, бизнес-процессов и интеграций.
Если у вас коробочный Битрикс24 и вы не уверены, что необходимые обновления установлены, — обращайтесь к нам. Мы держим ситуацию под контролем и всегда готовы помочь!