21 октября PHP закрыл две критические уязвимости. Чеклист для коробочного Битрикс24 и PHP-сайта

22 октября 2026 · Леонид Васильев

Вышли сборки PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. В них закрыты CVE-2026-109618 и CVE-2026-109619. Через эти дыры можно выполнить код на сервере без логина. CISA называет связку php2shell и просит ставить патч сразу, в первую очередь на машины, которые смотрят в интернет.

Если в компании коробочный Битрикс24 или сайт на PHP, работу делает тот, кто держит сервер. Кнопка обновления продукта в админке PHP не ставит. Облачный Битрикс24 патчит команда 1С-Битрикс: вам туда заходить с пакетами не нужно.

Что сломалось в движке

Обе ошибки сидят в обработке памяти и фатальных сбоев, то есть почти в каждом HTTP-запросе. На Apache с mod_php исследователи показали удалённый запуск кода ещё до кода вашего сайта. На PHP-FPM путь другой, риск тот же класса. Затронуты PHP-FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed.

Апстрим закрыл поддерживаемые ветки 8.2–8.5 перечисленными сборками. PHP 8.1 и старше проект больше не чинит: нужен переход на поддерживаемую ветку или бэкпорт от дистрибутива, если он вообще выйдет. Правки в php.ini сужают часть векторов. Полностью дыру закрывает только новая сборка.

Облачный Битрикс24

Серверы облака обслуживает 1С-Битрикс. Так и написано в их справке от 21 октября: PHP сами не обновляйте. Часть функций в облаке уже резали, пока ставили исправления и гоняли проверки. Если у менеджеров «пропали» куски портала, сначала смотрите статус облака, а не свой хостинг.

Коробочный Битрикс24

Портал стоит на сервере компании, у хостера или в BitrixVM. PHP обновляет системный администратор или тот, кто ведёт портал по договору. SiteUpdate Битрикс24 закрывает дыры в продукте. Дыры октября сидят ниже, в интерпретаторе.

После патча проверьте вход, сделки, почту, диск, роботов и интеграции. Если продажи идут через воронку, смарт-процессы или отчёты, смотрите их на боевом портале. Строка php -v в консоли этого не заменяет. Связка Метрики со сделками после рестарта PHP иногда теряет цели. Контур сквозной аналитики лучше пройти руками.

Несколько серверов или контейнеров: патч на каждом воркере, который отвечает на HTTP. Перезапуск одного nginx процессы PHP-FPM не обновляет.

Сайт на PHP, магазин, 1С-Битрикс

Та же история у корпоративного сайта и магазина, если серверная часть на PHP: «1С-Битрикс: Управление сайтом», самопис, часть магазинов. Версию PHP смотрите в панели хостинга или спрашивайте у того, кто ведёт сайт. Перед сменой ветки проверьте, что CMS, модули и ваш код эту ветку переварят. Копию файлов и базы снимите до работ, и хотя бы раз проверьте, что из копии вообще поднимается.

Сайт на Tilda живёт на инфраструктуре Tilda. PHP вашей компании там нет, этот патч к такой витрине не относится. Если рядом стоит корпоративный сайт или магазин на 1С-Битрикс, патчить нужно именно их сервер.

Три вопроса собственнику на сегодня

1. Какая ветка PHP сейчас отдаёт портал и сайт, и это уже 8.5.12, 8.4.27, 8.3.36 или 8.2.35?
2. Есть свежая копия файлов и базы, и её пробовали откатывать не только «на бумаге»?
3. Кто после патча проверит вход в CRM, сделки, роботов, формы на сайте и почту?

Если хостер «всё обновил», попросите номер сборки с той машины, которая реально отвечает на запросы. Команда apt upgrade без проверки php -v и phpinfo часто оставляет старый сокет PHP-FPM.

Пока патча нет, PHP советует сузить лимиты запроса и отключить session.upload_progress. 1С-Битрикс для BitrixVM пишет ту же настройку в пользовательский ini. Так выигрывают часы до установки сборки. Если патч поставить нельзя, с админом решают, кто вообще ходит на сервер из интернета.

Другие материалы

Сквозная аналитика и Битрикс24: как связать Метрику со сделками «Метрика есть, ROMI нет»: чеклист для собственника Аудит маркетинга за 1 встречу: что разбираем и что получаете Шеф-маркетинг в Ярославле: когда нужен внешний руководитель

Опора на первоисточники: advisory PHP от 21 октября, разбор PHP Foundation, CISA, справка Битрикс24.