Официально объявлено о выявлении двух критических уязвимостей в серверном компоненте PHP, который обеспечивает работу корпоративных порталов «Битрикс24» (коробочных версий) и сайтов на «1С-Битрикс: Управление сайтом».
Уровень опасности: 9,2 из 10 (Критический)!
В чем угроза: злоумышленники могут удаленно запустить произвольный код на сервере без авторизации. Это влечет за собой риски полной компрометации системы, утечки коммерческих данных и заражения корпоративной сети.
Важно: проблема обнаружена на уровне серверного ПО (PHP), а не в коде самого «Битрикса». Стандартное обновление модулей через административную панель сайта (SiteUpdate) не защитит ваш проект. Необходимо обновлять окружение сервера.
В связи с этим настоятельно рекомендуем в кратчайшие сроки обновить PHP до безопасных версий (8.5.12, 8.4.27, 8.3.36 или 8.2.35).
Что вам необходимо сделать прямо сейчас?
Выберите ваш сценарий и следуйте инструкции:
- 1. Вы на нашей технической поддержке Битрикс24 по SLA?
Вам не о чем беспокоиться. Наши специалисты уже работают над безопасностью вашего проекта. Пожалуйста, перейдите в тикет-систему Atevi Systems, чтобы согласовать удобное время для проведения технических работ на сервере.
- 2. Ваша «коробка» размещена на внешнем хостинге?
Срочно отправьте запрос в службу поддержки вашего хостинг-провайдера. Запросите обновление PHP для вашего сервера до актуальной безопасной сборки.
- 3. Сервер находится внутри компании и есть системный администратор?
Немедленно перешлите сисадмину эту пошаговую техническую инструкцию по обновлению на Хабре. Помните, что промедление ставит под угрозу конфиденциальность ваших данных.
- 4. У вас коробочная версия, но в штате нет ИТ-специалиста?
Не рискуйте работоспособностью бизнеса. Свяжитесь с нами — мы оперативно проведем все работы на сервере в рамках услуги технической поддержки Битрикс24.
Временные меры (если нельзя обновиться прямо сейчас):
Если ваш администратор не может установить исправления немедленно, в качестве частичной компенсации рисков необходимо:- Временно ограничить прямой доступ к Битрикс24 и сайту из внешней сети Интернет.
- Организовать удаленный доступ сотрудников к системе исключительно через корпоративный VPN.
Подробное официальное заявление читайте на сайте 1С-Битрикс: https://www.1c-bitrix.by/about/news/29335028/