Обновление PHP для Битрикса: защита от CVE-2026-109618 и CVE-2026-109619

В октябре 2026 года в PHP нашли две критические уязвимости, которые позволяют выполнить код на сервере без авторизации. Сайты на 1С-Битрикс работают на PHP, поэтому затронуты напрямую, а встроенные средства защиты CMS от этой атаки не спасают. Рассказываем, как проверить свой сайт и обновиться в двух типичных ситуациях: когда сайт размещён на обычном хостинге и когда он работает на собственном сервере с виртуальной машиной BitrixVM.

Содержание

• Что случилось
• Почему защита Битрикса здесь не помогает
• Как проверить версию PHP на сайте Битрикс
• Сайт на обычном хостинге
• Сайт на сервере с BitrixVM
• Временная защита, если обновления ещё нет
• Переход на PHP 8.3 и выше
• Что проверить после обновления
• Частые вопросы

Что случилось

21 октября 2026 года вышли срочные выпуски PHP, закрывающие уязвимости CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 балла из 10 и позволяют злоумышленнику выполнить свой код на сервере, отправив специально подготовленный запрос. Логин и пароль для этого не нужны.

Первая уязвимость связана с ошибкой обработки нехватки памяти во время разбора входящего запроса. Вторая связана с данными, которые остаются в памяти процесса после завершения предыдущего запроса и могут быть использованы следующим. Подтверждённый путь атаки во втором случае проходит через механизм отслеживания хода загрузки файлов в сессиях.

Самый высокий риск разработчики PHP отмечают для конфигурации, где PHP работает как модуль Apache (mod_php). Именно так PHP устроен в стандартной виртуальной машине BitrixVM и на многих хостингах, ориентированных на Битрикс.

Почему защита Битрикса здесь не помогает

В 1С-Битрикс есть модуль проактивной защиты с веб-антивирусом и фильтром атак. Он анализирует запросы, но делает это уже внутри кода сайта. Атака на новые уязвимости срабатывает раньше: на этапе, когда PHP только разбирает запрос, и до того, как управление получит ядро Битрикса. Поэтому ни проактивный фильтр, ни обновления модулей CMS, ни закрытая административная панель от неё не защищают.

Обновление продукта через Marketplace тоже не решает проблему: исправление нужно внести в сам PHP, то есть в серверное окружение. За него отвечает либо хостинг-провайдер, либо владелец сервера.

Как проверить версию PHP на сайте Битрикс

Узнать версию можно прямо в административной панели:

• раздел Настройки - Инструменты - Проверка системы (адрес /bitrix/admin/site_checker.php) показывает версию PHP и основные параметры окружения;
• раздел Настройки - Инструменты - Диагностика - Конфигурация PHP (адрес /bitrix/admin/phpinfo.php) выводит полную информацию о PHP, включая значения session.upload_progress.enabled и post_max_size.

Данные в админке отражают именно тот PHP, который обслуживает сайт, поэтому они надёжнее, чем вывод консольной команды. Если версия ниже исправленной для вашей ветки, сайт уязвим.

Сайт на обычном хостинге

На виртуальном хостинге владелец сайта не управляет пакетами PHP. Устанавливать исправления должен провайдер. Задача владельца сайта: убедиться, что это сделано, и при необходимости поторопить поддержку.

Порядок действий

1. Проверьте версию PHP в админке Битрикса или в панели хостинга.
2. Если версия уязвимая, напишите в поддержку хостинга и уточните, когда будут установлены исправленные выпуски.
3. Если в панели хостинга можно выбрать версию PHP, посмотрите, какие варианты доступны. Нередко исправленная версия появляется сначала в одной ветке, например 8.3, а затем в остальных.
4. До установки исправлений попросите поддержку отключить session.upload_progress.enabled для вашего аккаунта, если в панели нет такой настройки.

Смена версии PHP в панели хостинга

Переключение на другую ветку PHP в панели хостинга занимает пару минут и так же быстро отменяется. Перед этим сделайте резервную копию сайта средствами Битрикса (Настройки - Инструменты - Резервное копирование) или хостинга. После переключения пройдите по основным страницам сайта и запустите Проверку системы.

Настройки PHP на хостинге

Если на хостинге PHP работает как модуль Apache, некоторые параметры можно задать в файле .htaccess в корне сайта. Однако для защиты от новой уязвимости важно, чтобы настройка применялась до разбора запроса, а поддержка разных способов задания параметров у хостингов отличается. Надёжнее изменить параметр в панели хостинга или через поддержку. Файл .user.ini и изменение настроек из кода сайта через ini_set() для этой задачи не подходят: к моменту их применения запрос уже разобран.

Сайт на сервере с BitrixVM

На собственном сервере или VPS с виртуальной машиной BitrixVM за PHP отвечает владелец сервера. Исправление нужно установить самостоятельно.

Откуда BitrixVM берёт PHP

Актуальные версии BitrixVM на Rocky Linux и AlmaLinux 9 устанавливают PHP из стороннего репозитория Remi, который поддерживается силами энтузиастов. В день выхода исправлений обновлённых пакетов в нём не было, они появились позже. Поэтому возможна ситуация, когда команда обновления ещё ничего не находит. В этом случае до появления пакетов применяется временная защита, описанная ниже.

Узнать версию BitrixVM, PHP и подключённую ветку можно командами:

rpm -q bitrix-env
php -v
dnf module list --enabled php

Шаг 1. Резервная копия

Сделайте снимок сервера в панели облачного провайдера. Это самый быстрый способ откатиться при любой проблеме. Дополнительно можно снять дамп баз данных:

mysqldump --all-databases --single-transaction --routines --events | gzip > /root/all-db-$(date +%F).sql.gz

Шаг 2. Проверка наличия исправленных пакетов

dnf clean metadata
dnf -q check-update 'php*'

В списке должны появиться пакеты с исправленной версией вашей ветки, например 8.2.35 для ветки 8.2 или 8.3.36 для ветки 8.3. Если их нет, переходите к разделу о временной защите и повторяйте проверку раз в день.

Шаг 3. Обновление только PHP

Обновление внутри той же ветки не меняет поведение языка и для сайтов на Битриксе обычно проходит незаметно:

dnf upgrade -y 'php*'
systemctl restart httpd
php -v

Во время обновления часть дополнительных пакетов может замениться на аналоги с другими именами. Это штатное поведение репозитория.

Обновление через меню BitrixVM

Пакеты можно обновить и через меню виртуальной машины (команда menu.sh, раздел управления серверами пула, пункт обновления сервера). Нумерация пунктов отличается в разных версиях BitrixVM, поэтому ориентируйтесь на названия. Учтите, что такое обновление затрагивает не только PHP, но и MySQL, nginx, redis и пакеты самой BitrixVM. Если сейчас нужно закрыть только уязвимость, обновление одного PHP командой выше даёт меньше изменений за раз и проще в откате.

Если у вас старая BitrixVM на CentOS 7

CentOS 7 не поддерживается с середины 2024 года, а репозитории PHP для неё не получают обновлений. Исправленных пакетов для такой системы не будет. Временная защита снизит риск, но единственное полноценное решение здесь: перенос сайта на сервер с актуальной BitrixVM 9 и поддерживаемой версией PHP.

Временная защита, если обновления ещё нет

Эти меры не заменяют обновление, но закрывают известные пути атаки на время ожидания исправленных пакетов.

Что настроить

Как это сделать на BitrixVM

Настройки PHP в BitrixVM лежат в каталоге /etc/php.d/. Собственные изменения удобно вынести в отдельный файл, который подключается последним. Так их легко найти и убрать после обновления, а штатные файлы BitrixVM остаются нетронутыми:

cat > /etc/php.d/zz-cve-2026-109618.ini <<'EOF'
session.upload_progress.enabled = 0
post_max_size = 32M
upload_max_filesize = 10M
EOF
apachectl -t && systemctl restart httpd
php -i | grep -E 'upload_progress.enabled|post_max_size|upload_max_filesize'

После перезапуска откройте в админке Битрикса страницу Конфигурация PHP и убедитесь, что новые значения применились к сайту.

Как подобрать лимиты для сайта на Битриксе

Прежде чем снижать размер запроса, подумайте, какие операции на сайте передают большие объёмы данных:

• обмен с 1С: Битрикс принимает выгрузку частями, размер части зависит от настроек обмена и ограничений PHP, поэтому после снижения лимитов выгрузку нужно проверить;
• загрузка изображений и документов в инфоблоки и медиабиблиотеку;
• импорт каталога из CSV или XML через административную панель;
• восстановление резервных копий через браузер;
• сторонние парсеры и интеграции, которые отправляют данные на сайт.

Если какая-то операция перестала проходить, лимит можно немного увеличить, сохранив разумный запас. Главное: размер одного файла всегда должен быть меньше размера всего запроса.

Как вернуть настройки после обновления

Когда исправленная версия установлена, ограничения размеров можно убрать, а отключение session.upload_progress оставить:

sed -i '/post_max_size\|upload_max_filesize/d' /etc/php.d/zz-cve-2026-109618.ini
apachectl -t && systemctl restart httpd

Лимиты вернутся к значениям BitrixVM по умолчанию.

Переход на PHP 8.3 и выше

Обновление внутри ветки закрывает текущие уязвимости, но для многих сайтов на Битриксе это повод сразу спланировать переход на более свежую ветку. Причин две.

Первая: ветка 8.2 получает исправления безопасности только до 31 декабря 2026 года. Следующую критическую уязвимость в ней уже никто не исправит.

Вторая: требования самого Битрикса. С 1 февраля 2026 года обновления коробочных продуктов 1С-Битрикс устанавливаются только на PHP 8.2 и выше, а рекомендуемой названа версия 8.3. Сайты на PHP 8.1 и старее уже не могут получать обновления ядра и модулей.

Подготовка сайта к смене ветки

1. Сделайте резервную копию сайта и снимок сервера.
2. Установите все доступные обновления ядра и модулей Битрикса на текущей версии PHP.
3. Проверьте решения из Marketplace: готовые шаблоны и модули сторонних разработчиков. Убедитесь, что у них есть обновления с поддержкой нужной версии PHP, и установите их.
4. Просмотрите собственный код в /local/ и /bitrix/php_interface/: обработчики событий, кастомные компоненты, init.php. Именно здесь чаще всего встречается устаревший код.
5. Если сайт крупный, проверьте его сначала на тестовой копии.

Смена ветки на хостинге

Выберите нужную версию PHP в панели хостинга для конкретного сайта и проверьте его работу. При ошибках версию можно сразу вернуть обратно.

Смена ветки на BitrixVM

На BitrixVM смену версии PHP рекомендуется выполнять через меню виртуальной машины: в разделе управления серверами пула есть пункт обновления PHP и MySQL, где можно выбрать нужную версию. Если нужной версии в списке нет, сначала обновите саму BitrixVM. Смена через меню нужна для того, чтобы служебные настройки BitrixVM знали о новой версии и не вернули прежнюю при следующих операциях.

После перехода проверьте, что на месте собственные файлы настроек в /etc/php.d/, в том числе файл с отключением session.upload_progress, и что подключены все нужные расширения:

php -v
php -m
ls /etc/php.d/

Если после перехода появились ошибки

Текст ошибки и путь к файлу помогают понять источник. Если ошибка в стандартном модуле Битрикса, обычно помогает установка обновлений или обращение в техподдержку 1С-Битрикс. Если в стороннем модуле, нужно обновить его или обратиться к разработчику решения. Если в собственном коде сайта, его придётся доработать. На время разбора можно вернуть прежнюю версию PHP, но только с установленным исправлением.

Что проверить после обновления

• Проверка системы в админке Битрикса проходит без критических ошибок;
• главная страница, каталог, карточки и формы работают;
• вход в административную панель и сохранение элементов инфоблоков работают;
• загрузка файлов и изображений проходит;
• агенты выполняются, письма отправляются;
• обмен с 1С и импорт данных проходят без ошибок;
• в журнале ошибок Apache нет новых фатальных ошибок:

tail -50 /var/log/httpd/error_log

Поскольку сайт какое-то время работал на уязвимой версии, имеет смысл запустить сканер безопасности из модуля проактивной защиты и проверить контроль целостности файлов. Подозрительные признаки: новые PHP-файлы в /upload/, незнакомые администраторы в списке пользователей, изменённые файлы ядра, неожиданные агенты и обработчики событий.

На рабочем сервере также стоит убедиться, что отладчик Xdebug выключен. Он нужен только при разработке, замедляет сайт и увеличивает поверхность атаки:

php -m | grep -i xdebug

Частые вопросы

Нужно ли обновлять сам Битрикс, чтобы закрыть уязвимость?

Нет. Уязвимость находится в PHP, а не в Битриксе, поэтому закрывается обновлением PHP. Обновления продукта полезны сами по себе, но эту проблему не решают.

У меня включена проактивная защита, этого хватит?

Нет. Проактивная защита Битрикса работает внутри кода сайта, а атака происходит раньше, на этапе разбора запроса самим PHP.

Не сломает ли отключение session.upload_progress загрузку файлов в Битриксе?

Нет. Эта функция отвечает только за индикатор хода загрузки через сессию. Стандартные механизмы загрузки файлов Битрикса её не используют, файлы продолжают загружаться как обычно.

Можно ли обновить PHP на BitrixVM через меню, а не командами?

Можно. Пункт обновления сервера в меню BitrixVM обновит и PHP, но заодно MySQL, nginx и другие компоненты. Это удобно для планового обслуживания, но даёт больше изменений за раз. Перед таким обновлением обязательно сделайте снимок сервера.

Хостинг не обновляет PHP, что делать?

Попросите поддержку отключить session.upload_progress и снизить post_max_size для вашего аккаунта, уточните сроки установки исправлений. Если хостинг не реагирует или предлагает только устаревшие версии PHP, это весомый повод сменить хостинг.

Можно ли остаться на PHP 8.2?

До 31 декабря 2026 года можно, если установлена версия 8.2.35 или новее. После этой даты ветка перестанет получать исправления безопасности, поэтому переход на 8.3 лучше выполнить заранее и в спокойном режиме.