Найдены критические уязвимости PHP, срочно требуется обновить ПО для Битрикс24!

Что случилось

21 октября 2026 года разработчики PHP выпустили внеплановые обновления своего ПО. Они закрывают две критические уязвимости: CVE-2026-109618 и CVE-2026-109619.

PHP - это базовое ПО для всего интернета: на нём работает большинство сайтов в мире, включая интернет-магазины, сайты на «1С-Битрикс», WordPress и других CMS, а также коробочные версии Битрикс24.

Суть проблемы в том, что злоумышленник может запустить на сервере свой код без пароля и авторизации. Ничего подбирать или выманивать не нужно: уязвимость открывает доступ сама. Критичность оценили в 9,2 балла из 10 по CVSS v4.0, это категория «критическая». Обновление самой CMS при этом не защищает: проблема не в сайте и не в Битрикс24, а в PHP, на котором они работают. Надёжно защищает только обновление PHP на сервере.

Насколько велик масштаб

По оценкам экспертов РБК, под угрозой сотни тысяч сайтов Рунета, включая сайты на «1С-Битрикс». Крупные хостеры уже разослали клиентам предупреждения.

Google Cloud называет уязвимыми все версии PHP с 5.4 по 8.5.11. Сингапурское агентство кибербезопасности CSA считает, что проблема касается всех выпущенных версий, а неподтверждённые сообщения говорят о ветках, появившихся ещё во времена PHP 5.

Попытки атак уже идут: исследователи watchTowr наблюдают в сети запросы с User-Agent «php2shell» и самодельные доказательства концепции (PoC). Успешных взломов пока не зафиксировано. Это значит, что окно, за которое можно успеть защититься, ещё открыто, но закрывается оно быстро.

Промедление может обойтись дорого! Если атака случится раньше, чем вы успеете обновить PHP, то скорее всего события начнут развиваться по одному из следующих сценариев:

• злоумышленник выгрузит с сервера всё, до чего может дотянуться: конфиденциальную информацию, пароли, токены сессий, ключи и сертификаты;
• сайт и сервер начнет работать на преступников: страницы подменяются, файлы шифруются, от имени компании рассылаются письма клиентам и партнёрам;
• бизнес понесёт прямые убытки: продажи через сайт остановятся, а восстановление после взлома займет дни, а то и недели, и обойдутся дороже любой профилактики;
• к техническим проблемам добавятся правовые: за утечку персональных данных клиентов владельцу сайта грозит ответственность по законам РФ.

Чем это грозит владельцам коробочного Битрикс24

Коробочный Битрикс24 работает на вашем собственном сервере, а значит, и на PHP. Кнопки «Обновить» в админке недостаточно: патч должен встать на уровне самого сервера. Уже сегодня стоит получить от администратора или хостера ответы на два вопроса:

• какая версия PHP реально работает на сервере (проверьте и тестовые контуры);
• какая операционная система установлена на сервере.

Худший сценарий: сервер под управлением CentOS 7. Эта операционная система не поддерживается с июня 2024 года, новые версии PHP на неё не устанавливаются, а поддержка старых виртуальных машин BitrixVM 7 на её базе давно прекращена. Обновить PHP «внутри» такой системы невозможно в принципе: сервер нужно переводить на актуальную ОС. Если ваш Битрикс24 работает на CentOS 7, вы в зоне максимального риска, потому что и PHP старый, и патча для него не будет.

Что делать владельцу прямо сейчас

• Сегодня же поставьте задачу администратору или хостеру: «Проверить версию PHP, установить обновления безопасности PHP (CVE-2026-109618, CVE-2026-109619), перезапустить PHP-FPM». Сошлитесь на этот наш материал.
• Выясните, какая операционная система стоит на сервере. Если это CentOS 7, обновлений PHP не будет: нужна миграция на актуальную ОС, и тянуть с ней не стоит.
• Если штатного администратора нет или он не отвечает, заполните форму обратной связи внизу этой страницы, или позвоните нам по бесплатному номеру 8 (800) 600-85-81, напишите в ТГ-бот или на почту sales@integrator.digital. Мы обновим PHP на ваших серверах, проверим, не осталось ли следов взлома, и при необходимости перенесём Битрикс24 со старой CentOS на актуальную платформу.

Техническая часть: пошаговая инструкция для администраторов

Ниже собраны технические детали и план действий для специалистов. Владельцам бизнеса достаточно передать ссылку на этот раздел своему администратору или хостеру.

Как устроены уязвимости

CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): при нехватке памяти (OOM) PHP может прерваться в момент, когда внутренние данные запроса инициализированы не полностью. При очистке запроса эти данные принимаются за корректные.

CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): внутреннее состояние запроса может сохраниться после освобождения памяти, и тогда следующий запрос того же воркера использует это «устаревшее» состояние.

Обе уязвимости приводят к удалённому выполнению кода без авторизации (RCE). Затронуты все популярные конфигурации: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Выше всего риск у mod_php: существует демонстрационный эксплойт, срабатывающий до запуска кода приложения.

Шаг 1. Найдите все копии PHP

Проверьте серверы, контейнеры, панели хостинга, CI-образы и сторонние продукты на PHP. Начните с сайтов, доступных из интернета. Версию узнавайте командой php -v. Для PHP-FPM и Apache смотрите ту версию, под которой реально работает веб-сервер: CLI-версия может отличаться.

Шаг 2. Обновите PHP до исправленной версии

Установите пакетами дистрибутива одну из исправленных версий:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Для версий 7.4, 8.0 и 8.1 готовых официальных пакетов не будет, но команда PHP опубликовала исправления исходного кода для этих веток. Доступность собранных пакетов уточните у поставщика и согласуйте с администратором установку подтверждённой исправленной сборки либо переход на поддерживаемую ветку с учётом требований вашей версии Битрикс24 к PHP. Учтите, что PHP 8.2 перестаёт получать патчи 31 декабря 2026 года.

Готовые пакеты появляются в репозиториях не одновременно, поэтому обычная проверка обновлений может пока не предлагать исправленную версию. Репозиторий Remi (rpms.remirepo.net) уже выпустил сборки всех поддерживаемых версий. Если исправленного пакета в вашем репозитории ещё нет, установите совместимые исправленные пакеты вручную. После обновления обязательно проверьте, какая сборка PHP фактически обслуживает сайт: успешное выполнение команды обновления само по себе не подтверждает, что уязвимость закрыта.

Шаг 3. Перезапустите всё

После обновления перезапустите PHP-FPM, Apache и фоновых воркеров. Иначе в памяти продолжит работать старый уязвимый код. Перезапуск одного nginx недостаточен: он не обновляет работающие процессы PHP-FPM.

Шаг 4. Если обновиться сразу нельзя: временные меры

Эти меры защищают лишь от части сценариев и не делают установку безопасной. Они снижают риск, пока обновление готовится:

• задайте memory_limit = -1 так, чтобы приложения не могли переопределить значение (через php_admin_value);
• ограничьте post_max_size: 8M, если загрузка файлов не нужна, и 32M, если нужна; upload_max_filesize задайте меньше post_max_size;
• продублируйте лимиты размера запроса, числа полей и заголовков на уровне веб-сервера или прокси;
• задайте session.upload_progress.enabled = 0 в php.ini или конфиге пула (через ini_set() и .user.ini это не сработает) и перезапустите воркеры; на PHP 8.5 добавьте fatal_error_backtraces = 0;
• не используйте RLIMIT_AS и RLIMIT_DATA: они сами могут вызвать уязвимую ошибку выделения памяти;
• если и это невозможно, закройте сайт от публичной сети или поставьте WAF. WAF помогает, только когда сервер недоступен напрямую, в обход фильтра.

Шаг 5. Проверьте сервер на компрометацию

Просмотрите логи на запросы с User-Agent «php2shell», аномальные запросы и появление новых файлов. Если сервер был открыт для интернета до установки патча, смените пароли, ключи и токены сессий.

Если проект работает на BitrixVM 9.x или в контейнерах

BitrixVM 9.x обновляйте по инструкции вендора, предварительно проверив резервные копии сайта, базы данных и конфигурации сервера. Временную меру из шага 4 (session.upload_progress.enabled = Off) добавьте в файл пользовательских настроек /etc/php.d/z_bx_custom.ini, затем перезапустите процессы, исполняющие PHP. Для конфигурации с Apache и модулем PHP перезапустите Apache командой systemctl restart httpd.service.

Контейнеры: обновите или пересоберите образ приложения с исправленной версией PHP и необходимыми расширениями, затем пересоздайте контейнеры штатным способом, сохранив конфигурацию и подключённые тома. Перед удалением старых контейнеров проверьте сохранность данных: файлы из записываемого слоя удаляются вместе с контейнером.

Битрикс24 на старой CentOS: случай, который мы видим чаще всего

Типичная картина на наших проектах: сервер на CentOS 7, старая версия PHP без шансов на обновление и бизнес-критичная CRM, которую нельзя останавливать. Надёжное решение в такой ситуации одно: миграция. Мы выполняем обновление CentOS для Битрикс24 под ключ: перенос на CentOS Stream 9 занимает 5–10 рабочих дней, проходит без простоев, включает актуальный стек PHP 8.x и 30 дней бесплатной поддержки после переезда.

Что в итоге

• Владельцам сайтов и коробочного Битрикс24: сегодня поставить задачу администратору или хостеру, а если сервер на CentOS 7, не откладывать миграцию.
• Администраторам: найти все копии PHP, обновить их до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапустить всё и проверить логи на следы атак.
• Тем, у кого нет свободного специалиста: мы всё сделаем сами, от обновления PHP и проверки на компрометацию до миграции со старой CentOS.

Официальное объявление о релизе опубликовано в архиве новостей php.net.

Если обновить PHP самостоятельно не получается, заполните форму ниже – мы поможем обновить операционную систему со всем необходимым ПО и убедимся, что все уязвимости закрыты.