Критические уязвимости PHP требуют обновления серверного окружения. Разбираем исправленные сборки, проверку результата, действия для PHP 7.4/8.0/8.1 и ответственность за облачный Битрикс24.
Если у вас коробочный Битрикс24 или сайт на «1С-Битрикс: Управление сайтом», попросите администратора проверить сборку PHP, которая действительно обрабатывает веб-запросы. Обновление модулей Битрикса через SiteUpdate не обновляет интерпретатор на сервере.
В октябрьском обновлении PHP исправлены две критические уязвимости с возможностью удалённого выполнения кода без входа в систему. Ошибки находятся в PHP. Поэтому проверка нужна и проектам, в которых своевременно обновляли сам Битрикс24.
| Где работает проект | Что делать владельцу |
|---|---|
| Коробка на своём сервере или VPS | Проверить PHP и установить исправление с администратором |
| Коробка в облачном дата-центре | Проверить договор обслуживания: аренда инфраструктуры сама по себе не означает обновление PHP |
| Сайт на хостинге | Запросить у хостинга подтверждение исправленной сборки для вашего сайта |
| Облачный Битрикс24 | Самостоятельно обновлять PHP сервиса не требуется; отдельно проверить свои сайты и внешние приложения |
Не знаете, какая у вас версия и кто отвечает за обновления? Обратитесь в АС Проект: начнём с проверки окружения, определим необходимые работы и согласуем порядок обновления. Для первичного обращения достаточно адреса портала, описания размещения и контакта администратора. Пароли в заявке присылать не нужно.
CVE-2026-109618 связана с обработкой нехватки памяти. При прерывании запроса внутренние данные могут оставаться в некорректном состоянии, что создаёт путь к выполнению постороннего кода. Описание и исправленные версии доступны в уведомлении PHP о CVE-2026-109618.
CVE-2026-109619 связана с внутренним состоянием рабочего процесса, которое может пережить освобождение памяти запроса. Следующий запрос способен обратиться к уже освобождённым данным. Подробности приведены в уведомлении PHP о CVE-2026-109619.
Проверять нужно разные способы запуска PHP, включая Apache с mod_php и PHP-FPM. Наличие nginx перед PHP не отменяет необходимость обновления. Для mod_php описан особенно опасный сценарий до исполнения кода приложения, поэтому закрытая страница входа в CRM не служит подтверждением защиты.
Возможные последствия для компании зависят от прав процесса и устройства сервера: доступ к данным CRM и настройкам подключений, изменение файлов, остановка портала. Это описание риска, а не утверждение, что конкретный портал уже взломан.
Для двух перечисленных CVE исправления включены в следующие выпуски:
| Ветка PHP | Первый выпуск с исправлением двух CVE |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Это минимальные исправленные выпуски для этих двух ошибок, а не рекомендация навсегда зафиксировать сервер на указанном номере. Выбирайте актуальное исправленное обновление своей ветки с учётом совместимости проекта.
У некоторых поставщиков пакетов исправление переносится в сборку со старым базовым номером. Такой перенос называется backport. В этом случае нужен бюллетень поставщика, который подтверждает закрытие обеих CVE именно в установленной ревизии пакета. Одной фразы «обновления установлены» недостаточно.
Для официальных Windows-сборок позднее выпущены пакеты 8.2.35-1, 8.3.36-1, 8.4.27-1 и 8.5.12-1 с исправлением Brotli, CVE-2026-111497. Суффикс -1 относится к сборке пакета, поэтому номер интерпретатора сам по себе не подтверждает наличие этого исправления. Если у вас Windows, проверьте происхождение и ревизию установленного пакета.
Ещё одно уточнение касается session.upload_progress.enabled: при редком сочетании настроек сессий возможен дополнительный сценарий, зарегистрированный как CVE-2026-115560. До установки выпуска, закрывающего этот сценарий, согласуйте отключение параметра на уровне серверной конфигурации и перезапуск обработчиков. Проверьте, использует ли проект отслеживание загрузки файлов. Эти уточнения опубликованы в октябрьских уведомлениях PHP.
В облачном Битрикс24 компания использует готовый сервис. Серверное окружение, установка исправлений и обслуживание платформы находятся на стороне Битрикс24. У клиента нет задачи самостоятельно выбирать пакет PHP и перезапускать обработчики сервиса. Такое распределение ответственности описано в материале Битрикс24 о защите данных.
Поэтому новость не требует от владельца облачного портала тех же серверных действий, что от владельца коробки. Это не означает, что любая облачная система неуязвима.
Проверьте соседние системы: корпоративный сайт, интернет-магазин, самописный обработчик вебхуков, приложение для обмена с 1С. Если они работают на вашем PHP-сервере, его обслуживаете вы или ваш подрядчик, даже когда сама CRM находится в облаке.
Коробка на VPS у облачного провайдера остаётся коробкой. Кто обновляет её программное окружение, определяет договор с администратором или хостингом. Различия вариантов размещения разобраны на странице коробочного Битрикс24.
Рекомендуем следующий порядок работ. Конкретные команды установки зависят от ОС, репозиториев и способа запуска PHP.
Для BitrixVM смена ветки выполняется через меню Manage servers in the pool → Update PHP, MySQL, PostgreSQL, с выбором нужного узла. Доступные варианты зависят от установленной версии окружения. Обновление самой виртуальной машины не гарантирует обновления PHP: это отдельная операция. Порядок работы с меню BitrixVM.
При обновлении внутри одной ветки отдельно проверьте, что репозиторий действительно предложил исправленную ревизию. Не меняйте ветку только ради большего номера без проверки доработок.
Команда php -v показывает интерпретатор командной строки. Веб-сайт может обслуживаться другой установкой PHP. Сопоставьте этот результат со сведениями о PHP в административной части проекта и конфигурацией веб-сервера.
В протокол приёмки мы рекомендуем включить:
Для сайта дополните проверку отправкой форм, оформлением заказа и тестовым сценарием оплаты. Не оставляйте публично доступный файл phpinfo() после диагностики.
У этих веток завершена обычная поддержка PHP. Для двух критических CVE подготовлены минимальные исправления исходного кода, но наличие исходного патча не означает, что ваш хостинг уже установил готовый исправленный пакет. Поддержку сборки необходимо подтвердить у поставщика.
Разделите работу на два этапа:
| Этап | Что нужно получить |
|---|---|
| Срочное снижение риска | Подтверждённая сборка с исправлением обеих CVE либо согласованное ограничение доступа до обновления |
| Выход из устаревшего окружения | Проверенная на копии миграция продукта, доработок и расширений на поддерживаемую ветку |
Не пытайтесь заменить PHP 7.4 на новую ветку прямо на рабочем сервере без проверки кода. Сначала выясните, какие модули, обработчики и интеграции мешают переходу. Для сложных доработок начните с аудита Битрикс24.
Актуальные требования платформы предусматривают PHP не ниже 8.2, рекомендуемая ветка начинается с 8.4. Это требования к платформе, а не гарантия совместимости любого старого модуля. Системные требования 1С-Битрикс.
При этом поддержка безопасности PHP 8.2 заканчивается в конце декабря 2026 года. Если сейчас планируется большой переход со старой версии, оцените совместимую ветку с более долгим сроком поддержки, чтобы вскоре не повторять миграцию. Сроки поддержки PHP.
Если обновлению мешает старая ОС и недоступные зависимости, может потребоваться перенос коробки на новый сервер. Общий план обновления ОС, окружения и продукта приведён в статье почему пора обновить коробочный Битрикс24.
Согласуйте с администратором ограничение внешнего доступа к порталу на период работ: например, через VPN или разрешённые адреса. Заранее проверьте влияние на сотрудников, формы, телефонию, вебхуки и обмен с другими системами.
Есть технические компенсационные настройки PHP, но каждая закрывает только часть сценариев. Они не дают основания считать уязвимую сборку исправленной. Не копируйте отдельные параметры без оценки памяти, нагрузки и работы загрузок: изменения могут привести к недоступности портала. Временная мера должна иметь ответственного и срок замены полноценным обновлением.
Если появились неизвестные PHP-файлы, неожиданные администраторы или подозрительная активность, нужен отдельный разбор возможного инцидента. Сохраните журналы и снимок состояния, ограничьте доступ и привлеките специалиста. Установка патча не удаляет уже внедрённый код. План смены паролей и ключей составляется с учётом результатов проверки и выполняется из доверенной среды.
Начнём с фактического состояния вашей системы: где работает PHP, какие пакеты установлены, есть ли рабочая резервная копия и что может помешать обновлению.
После проверки предложим подходящий объём работ:
Стоимость и окно работ определим после проверки окружения и доработок. Универсальный срок без диагностики обещать нельзя: установка патча и восстановление давно не обслуживаемого портала требуют разного объёма работы.
Нужна проверка и обновление PHP? Оставьте заявку в АС Проект или напишите на sales@acp-24.ru с темой «Проверка PHP». Укажите адрес проекта, коробка это или сайт, где он размещён и известна ли версия PHP. Согласуем доступы отдельно и подготовим план работ.
Оставьте заявку - мы свяжемся с вами и проконсультируем.
Эксперт АС Проект свяжется в течение 60 минут.
