PHP готовит критическое обновление: рекомендации для «1С-Битрикс: Управление сайтом» и коробочного Битрикс24

Информация актуальна на 21 октября 2026 года, 13:05 МСК. Выпуск обновлений PHP запланирован на 17:00 МСК, или 16:00 по Калининграду. После публикации исправлений мы дополним материал точными версиями и окончательными рекомендациями.

20 октября команда PHP предупредила о подготовке обновления безопасности. Оно должно устранить две критические уязвимости, каждая из которых получила оценку CVSS v4.0 9.2. Точные затронутые версии PHP, технические условия и номера исправленных выпусков пока не опубликованы: разработчики PHP обещают раскрыть их вместе с обновлением.

Для «1С-Битрикс: Управление сайтом» и коробочного Битрикс24 это потенциально серьезный риск на уровне серверного PHP. Обновление самого продукта через SiteUpdate не заменяет обновление PHP.

Кратко

• Две критические уязвимости PHP с оценкой CVSS v4.0 9.2.

• Официальный выпуск исправлений запланирован на 21 октября, 17:00 МСК.

• Затронутые и безопасные версии PHP пока не опубликованы.

• Владельцам сайтов и коробочных порталов следует проверить серверное окружение и подготовиться к оперативному обновлению PHP.

• session.upload_progress.enabled = 0 пока нельзя считать подтвержденной защитой от этих уязвимостей: эффективность меры неизвестна, и она не заменяет обновление PHP.

• В облачном Битрикс24 серверным PHP управляет Битрикс24; пользователям не требуется самостоятельно менять php.ini или устанавливать серверные пакеты.

Что известно и что пока не подтверждено

Официальный анонс PHP подтверждает количество уязвимостей, их оценку и время запланированного выпуска. Полные технические сведения, затронутые версии и исправленные выпуски должны появиться вместе с релизом.

CERT-EU связывает предварительные сообщения с CVE-2026-109618 и CVE-2026-109619 и упоминает возможное удаленное выполнение кода. При этом бюллетень прямо указывает, что технические подробности еще не опубликованы, а сведения об удаленном выполнении кода и широком охвате версий основаны на утечках.

Поэтому до официального раскрытия преждевременно утверждать, что уязвим любой сайт на PHP, перечислять конкретные затронутые версии или называть номера исправленных сборок окончательными. Этот материал описывает потенциальное влияние с учетом архитектуры продуктов, но не подтверждает компрометацию конкретной установки.

Что это означает для разных продуктов

Использование PHP подтверждается официальными требованиями «1С-Битрикс: Управление сайтом» и коробочного Битрикс24.

Что сделать до выпуска исправлений

1. Провести инвентаризацию PHP. Определите версии PHP, которые фактически обслуживают сайт или портал. Учтите все серверы, контейнеры, PHP-FPM-пулы и балансировочные узлы. Конфигурация командного PHP может отличаться от конфигурации веб-приложения.

2. Подготовиться к оперативному обновлению. Проверьте порядок установки пакетов, наличие резервной копии и возможность отката. Уточните у хостинг-провайдера, как быстро исправленная сборка появится в его репозитории.

3. Оценить внешнюю доступность. Если риск для организации неприемлем, а исправление еще недоступно, рассмотрите временное ограничение доступа к приложению через VPN, список разрешенных адресов или другие сетевые средства. Такую меру рекомендует CERT-EU для публично доступных PHP-приложений.

4. Не рассчитывать только на защиту прикладного уровня. Пароли, двухфакторная аутентификация, проактивный фильтр и другие механизмы продукта важны, но не заменяют исправление серверного PHP.

5. Не устанавливать неофициальные исправления. Дождитесь выпуска PHP или пакетов от поставщика операционной системы, серверного окружения либо хостинга.

Полностью запрещать запросы multipart/form-data без предварительного тестирования не рекомендуем: это может нарушить загрузку документов, изображений и работу форм.

Почему отключение Session Upload Progress нельзя считать гарантированным решением

В отдельных предварительных публикациях предлагается отключить встроенный механизм PHP, который записывает в сессию сведения о ходе загрузки файлов:

session.upload_progress.enabled = 0

Документация PHP указывает, что параметр включен по умолчанию и имеет режим INI_PERDIR. Его нельзя корректно заменить вызовом ini_set() в коде приложения. При этом PHP и CERT-EU пока не связывали эту настройку с двумя анонсированными уязвимостями, поэтому ее эффективность именно в этом инциденте неизвестна.

Важно учитывать ограничения:

• PHP пока не связывал эту настройку с обеими уязвимостями и не публиковал ее как официальную защиту;

• настройка не заменяет обновление PHP;

• изменение нужно вносить в серверную конфигурацию PHP, обслуживающего веб-приложение;

• после изменения необходимо перезапустить соответствующий PHP-FPM или веб-сервер и проверить фактическое значение через веб-приложение;

• нужно протестировать загрузку файлов в Диск, задачи, CRM, формы сайта и нестандартные компоненты;

• могут перестать работать индикаторы прогресса и доработки, использующие этот механизм.

Обычную загрузку файлов и пользовательские сессии эта настройка сама по себе не отключает, но ее влияние на конкретные доработки необходимо проверить. До раскрытия технических деталей рассматривайте ее только как дополнительное усиление защиты.

Что делать после выхода исправлений

1. Сверить затронутые и исправленные версии с официальным сообщением PHP. Номера сборок из предварительных публикаций нельзя считать окончательными до релиза.

2. Обновить серверный PHP. Предпочтительно установить исправление в текущей поддерживаемой ветке. Срочный переход на другую ветку требует отдельной проверки совместимости ядра продукта, модулей и доработок.

3. Учесть задержку пакетов. Появление исходного выпуска PHP не означает, что исправленный пакет сразу доступен в репозитории операционной системы или у хостинг-провайдера.

4. Отдельно разобрать старые установки. PHP 5.x, 7.x, 8.0 и 8.1 находятся вне обычной поддержки. Для них потребуется переход на поддерживаемую ветку либо документированное исправление от поставщика, который продолжает сопровождать старую версию. Актуальные сроки указаны на странице поддерживаемых версий PHP.

5. Проверить результат. Убедитесь, что работающие веб-процессы на всех узлах действительно используют исправленную сборку. Затем проверьте вход, загрузку файлов, Диск, задачи, CRM, формы сайта, заказы, интеграции и нестандартные компоненты.

В BitrixVM также требуется обновить PHP. Установка обновлений продукта через SiteUpdate сама по себе не подтверждает обновление интерпретатора.

Мы обновим рекомендации после того, как PHP опубликует технические подробности, перечень затронутых версий и исправленные выпуски.

Источники

• Официальный анонс PHP

• Бюллетень CERT-EU

• Настройка Session Upload Progress

• Технические требования «1С-Битрикс: Управление сайтом»

• Технические требования коробочного Битрикс24