21 октября разработчики PHP выпустили исправления двух критических уязвимостей, которые могут позволить выполнить произвольный код на сервере без авторизации. Владельцам сайтов на «1С-Битрикс: Управление сайтом» и коробочного Битрикс24 нужно обновить PHP на сервере. По последнему обновлению источника, в облачном Битрикс24 сохраняются временные ограничения.
Уязвимости обнаружены во внешнем серверном компоненте PHP, а не в коде продуктов «1С-Битрикс». Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP обновляется на уровне сервера, поэтому обновление продукта через SiteUpdate не заменяет эту процедуру.
Облачный Битрикс24
Серверы облака обслуживает команда Битрикс24, клиентам обновлять PHP не нужно. До установки исправлений и завершения проверок безопасности компания ограничила часть функций. По данным обновления источника от 17:57, ограничения могут затрагивать формы, сделки в CRM, письма и бизнес-процессы. Функции будут возвращать поэтапно. О восстановлении компания сообщит отдельно.
Коробочные продукты и сайты
Готовые пакеты появляются в репозиториях не одновременно. В репозитории remi уже есть сборки всех поддерживаемых версий. Если исправленного пакета в подключённом репозитории нет, необходимо вручную установить совместимые исправленные пакеты. Успешное выполнение команды обновления не подтверждает устранение уязвимостей. Нужно проверить, какая сборка PHP фактически обслуживает сайт.
- BitrixVM 9.x с Apache и модулем PHP: после обновления перезапустить Apache командой
systemctl restart httpd.service. - Другие окружения: перезапустить Apache с mod_php или соответствующие службы PHP-FPM. Перезапуска одного nginx недостаточно.
- Контейнеры: пересобрать образ с исправленным PHP и пересоздать контейнеры, сохранив конфигурацию и подключённые тома.
- PHP 7.4, 8.0 и 8.1: разработчики предоставили исправления исходного кода, наличие готовых пакетов нужно уточнить у поставщика.
До обновления можно снизить риск отдельных вариантов атаки настройкой session.upload_progress.enabled = Off. В BitrixVM 9.x её добавляют в файл /etc/php.d/z_bx_custom.ini и перезапускают процессы PHP. Эта мера не закрывает обе уязвимости полностью и не заменяет обновление PHP.
Поручите системному администратору, интегратору или хостингу проверить резервную копию сайта, базы данных и конфигурации сервера. Затем специалист должен установить исправленный выпуск PHP с учётом совместимости проекта на каждом его сервере и проверить авторизацию, CRM, загрузку файлов, почту и интеграции. Если быстро обновить PHP нельзя, обсудите с администратором временное ограничение доступа к системе из интернета.
Источник: 1С-Битрикс
