Критические уязвимости в PHP: что нужно сделать пользователям Битрикс24 и владельцам сайтов
21 октября 2026Разработчики PHP сообщили о двух критических уязвимостях, которые могут позволить злоумышленникам получить доступ к серверу и выполнять на нём вредоносный код. Проблема особенно актуальна для компаний, использующих коробочный Битрикс24, а также для владельцев сайтов и веб-приложений на PHP. Безопасность таких систем зависит не только от обновления самого продукта, но и от программного обеспечения, установленного на сервере.
Суть проблемы
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с PHP — технологией, на которой работает серверная часть многих сайтов и корпоративных систем.
Если сервер использует уязвимую версию PHP, злоумышленник потенциально может выполнить на нём свой код без авторизации. Это создаёт риск утечки данных, нарушения работы портала и доступа к информации, которая хранится на сервере.
Для устранения проблемы разработчики PHP выпускают исправления. Поэтому важно проверить версию PHP и установить подходящее обновление.
Как это касается пользователей Битрикс24
Тут важно, какой именно версией Битрикс24 пользуется ваша компания.
Облачный Битрикс24
Если вы работаете в облачной версии, самостоятельно обновлять PHP не нужно. Серверы обслуживает команда Битрикс24, которая отвечает за техническую безопасность инфраструктуры. Пользователям достаточно следить за официальными сообщениями сервиса и рекомендациями по безопасности.
Коробочный Битрикс24
В коробочной версии портал установлен на собственном сервере компании или на сервере хостинг-провайдера. Поэтому за обновление PHP отвечает системный администратор или специалист, который обслуживает портал.
Важно понимать: обновить только Битрикс24 недостаточно. PHP необходимо обновлять отдельно.
Что нужно сделать владельцам коробочной версии
Чтобы снизить риск атаки, рекомендуется выполнить следующие шаги:
Проверить версию PHP
Узнайте, какая версия используется на сервере, где работает Битрикс24.
Установить исправление
Обновите PHP до версии, в которой устранены уязвимости, предварительно проверив совместимость с вашим порталом.
Проверить работу портала
После обновления убедитесь, что CRM, задачи, бизнес-процессы и интеграции работают корректно.
Проверить остальные серверы
Если Битрикс24 работает на нескольких серверах или в контейнерах, обновление может потребоваться на каждом из них.
Перед обновлением стоит убедиться, что есть актуальная резервная копия. Если установить исправление сразу невозможно, обсудите с системным администратором временные меры защиты, например, ограничение внешнего доступа к серверу.
Что делать владельцам обычных PHP-сайтов
Уязвимости могут затрагивать не только Битрикс24, но и другие сайты, работающие на PHP: интернет-магазины, сайты компаний, CMS, форумы и собственные веб-приложения.
Владельцам сайтов рекомендуется:
Уточнить, используется ли PHP
Если сайт размещён на хостинге, информацию о версии можно получить в панели управления, у технической поддержки провайдера или у разработчика сайта.
Проверить уязвимость установленной версии
Сверьте версию PHP с официальными уведомлениями безопасности. Сам факт использования PHP не означает, что сайт обязательно уязвим: риск зависит от конкретной версии и конфигурации.
Обновить PHP до исправленного выпуска
Если сервером управляет хостинг-провайдер, обратитесь в его поддержку и уточните, установлены ли необходимые исправления. При самостоятельном администрировании обновление должен выполнить ответственный специалист.
Проверить совместимость сайта
Перед переходом на другую версию PHP убедитесь, что её поддерживают CMS, плагины, темы, библиотеки и собственный код проекта. По возможности выполните проверку на тестовой копии сайта.
Обновить CMS и компоненты
Установите доступные исправления для системы управления сайтом, плагинов и расширений. Это дополнительная мера защиты, которая не отменяет обновление PHP.
Проверить резервные копии и восстановление
Убедитесь, что имеются актуальные копии файлов и базы данных, а процедура восстановления работоспособна.
Проверить признаки компрометации
При подозрительной активности изучите журналы веб-сервера и приложения, проверьте недавно изменённые файлы и необычные учётные записи. Если есть признаки взлома, привлеките специалиста по информационной безопасности.
Если сайт размещён на управляемом хостинге, владельцу не обязательно выполнять технические операции самостоятельно. Однако следует запросить у провайдера подтверждение, что используемая версия PHP исправлена или не затронута уязвимостями.
Важно
Функции будут восстанавливаться поэтапно после всех проверок безопасности и установки исправлений.
Установка обновления Битрикс24 или CMS не гарантирует устранения уязвимостей в PHP. Серверное ПО необходимо проверять и обновлять отдельно.
При этом не следует считать сайт уязвимым только на основании наличия PHP: сначала необходимо подтвердить, что установленная версия входит в список затронутых выпусков.
Главный вывод
Пользователям облачного Битрикс24 следует следить за официальными сообщениями сервиса. Владельцам коробочного Битрикс24 и других PHP-сайтов необходимо проверить используемую версию PHP, установить соответствующие исправления и убедиться, что после обновления сайт или портал работает корректно.