Две критические уязвимости PHP угрожают не только сайтам на «1С-Битрикс», но и серверам, порталам и другим цифровым сервисам. Проверьте инфраструктуру, пока не случился инцидент.
Сайт профсоюза открывается, новости выходят, обращения поступают. Кажется, всё в порядке, но работающий сайт ещё не означает, что сервер, на котором он размещён, защищен.
21 октября 2026 года разработчики PHP выпустили обновления, устраняющие две крайне опасные уязвимости. Специалисты оценили уровень каждой из них в 9,2 балла из 10, что говорит о критической степени угрозы.
Главная опасность в том, что при определенных настройках сервера злоумышленники могут воспользоваться этими уязвимостями, чтобы проникнуть в систему и запускать на сервере вредоносные программы или команды. При этом им даже не потребуется знать пароль от сайта или получать доступ к учетной записи администратора.
Главный вопрос для профсоюза сегодня — не «обновляли ли нам сайт?», а «проверен ли сервер и установлены ли исправления PHP именно там, где работают наши цифровые сервисы?».
Что профсоюз может потерять при успешной атаке
Взлом серверной части — это не обязательно просто испорченная главная страница. Последствия зависят от прав доступа, конфигурации сервера и того, какие сервисы на нём размещены.
- ㅤДанные работников. Если сайт или портал хранит заявления, контактные сведения, обращения по трудовым вопросам или информацию о членах профсоюза, несанкционированный доступ может поставить эти данные под угрозу.
- ㅤДоверие к официальной информации. На сайте могут появиться поддельные объявления, вредоносные ссылки или измененные документы. Работники воспринимают официальный ресурс профсоюза как проверенный источник.
- ㅤРаботу цифровых сервисов. При инциденте могут оказаться недоступны формы обращений, личные кабинеты, регистрация на мероприятия и связанные с ними процессы.
- ㅤСразу несколько ресурсов. Если один сервер обслуживает не только публичный сайт, но и другие приложения, успешная атака может затронуть больше одной системы. Конкретный масштаб определяется устройством инфраструктуры и правами, которые получит нарушитель.
Это возможные последствия эксплуатации уязвимостей, а не утверждение о том, что ваш сайт уже взломан. Но и отсутствие видимых сбоев не является доказательством безопасности.
Это не проблема в Битриксе. Под угрозой может оказаться сам сервер
PHP — серверная технология, на которой работают многие сайты и веб-приложения: от новостных разделов и форм обратной связи до личных кабинетов, внутренних порталов и интеграций. Её используют не только продукты «1С-Битрикс», но и WordPress, другие системы управления сайтами и проекты собственной разработки.
Обнаруженные уязвимости находятся в PHP, а не в интерфейсе конкретной CMS. Поэтому даже актуальная версия системы управления сайтом не гарантирует, что используемый на сервере PHP исправлен. Центр кибермониторинга «1С-Битрикс» отдельно подчеркнул: обновление продукта через SiteUpdate не заменяет обновление PHP.
Разработчики PHP предупреждают о рисках для разных способов обработки веб-запросов, включая Apache с модулем PHP, PHP-FPM и другие серверные окружения. Для одного из сценариев с Apache подтверждена возможность атаки еще до выполнения кода самого приложения. Защита административной панели и сложный пароль в таком случае не решают проблему на уровне сервера.
Важно различать облачный и собственный контур. Серверы облачного Битрикс24 обновляет поставщик сервиса. Но если у профсоюза есть отдельный сайт, коробочный портал, веб-приложение или интеграция на собственном сервере, их нужно проверять самостоятельно вместе с обслуживающим специалистом.
«Сайт работает, значит всё нормально» — опасная иллюзия
Нередко сайт профсоюза был разработан несколько лет назад. Подрядчик менялся, новостями занимается один сотрудник, хостинг оплачивает другой, а кто обновляет программное обеспечение сервера — неизвестно.
Даже если администратор вчера обновил «1С-Битрикс» или WordPress, это не значит, что обновился PHP. Более того, установленная версия в командной строке может отличаться от той, которая фактически обрабатывает запросы к сайту. На нескольких серверах, в контейнерах или на отдельных узлах могут остаться разные сборки.
Исправления уже выпущены в версиях PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Но наличие исправлений у разработчиков не означает их автоматическую установку на вашем хостинге. Для устаревших веток PHP может понадобиться отдельное решение с поставщиком программного обеспечения или переход на поддерживаемую версию.
Если вы не знаете, кто сейчас отвечает за PHP, когда в последний раз проверялись серверные обновления и какой план восстановления предусмотрен при сбое, вопрос безопасности нельзя считать закрытым.
