1С-Битрикс Безопасность

❗️️️️️️️ Владельцам коробочного Битрикс24 и сайтов на «1С-Битрикс»: необходимо обновить PHP

Разработчики PHP выпустили исправления двух критических уязвимостей, которые могут позволить злоумышленникам получить доступ к серверу.

Проблема обнаружена во внешнем компоненте PHP, а не в коде продуктов «1С-Битрикс».

👉 Передайте это сообщение администратору, партнёру или хостингу. Попросите оперативно обновить PHP и проверить работу сайта или портала.

✅️️️️️️️ Исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Специалист выберет подходящее обновление для вашей системы.

Обновление Битрикс24 или сайта через SiteUpdate не заменяет обновление PHP на сервере. Временные защитные настройки также не устраняют проблему полностью.

☁️ Если вы пользуетесь облачным Битрикс24, самостоятельно обновлять ничего не нужно — серверы обслуживает наша команда.

Подробная инструкция →

UPD ⚡

17:53: Разработчики PHP уже выпустили исправления. Сейчас мы готовим и тестируем обновление серверов облачного Битрикс24. Просим набраться терпения - наша команда постарается сделать все настолько быстро, насколько это вообще возможно.

Для защиты ваших данных временные ограничения пока сохраняются. Они могут затрагивать формы, сделки в CRM, письма и бизнес-процессы.

Будем возвращать функции поэтапно после установки исправлений и проверок безопасности. О восстановлении сообщим отдельно. Напоминаем, что это крайняя мера, на которую мы пошли для сохранения в безопасности ваших данных.

Критические уязвимости безопасности в PHP — сегодня нужно обязательно обновиться ⚡

Команда разработчиков PHP сообщила о двух критических уязвимостях в PHP и запланировала выпуск исправлений на 21 октября, 17:00 МСК.

PHP — отдельный компонент серверного программного обеспечения, который используется различными CMS и веб-приложениями, в том числе продуктами "1С-Битрикс". Обнаруженные уязвимости относятся к этому компоненту. Точные затронутые версии и технические подробности разработчики опубликуют вместе с исправлениями.

❗️Владельцам сайтов на «1С-Битрикс: Управление сайтом» и коробочного Битрикс24 рекомендуем подготовить СРОЧНОЕ обновление PHP на своих серверах.

Что сделать:

1. Уже сейчас свяжитесь с администратором, обслуживающим партнёром или хостингом. Попросите проверить используемую версию PHP и подготовиться к установке исправлений.
2. После выхода исправлений оперативно установите подходящее обновление PHP с учётом совместимости вашей системы.
3. После установки проверьте работу сайта или портала, включая загрузку файлов и интеграции.

PHP обновляется на уровне сервера, отдельно от обновлений продукта через SiteUpdate. Если вы не администрируете сервер самостоятельно, передайте эту информацию специалистам, которые его обслуживают.

Если оперативная установка исправлений невозможна, CERT-EU рекомендует рассмотреть временное ограничение доступа из интернета. Необходимость и способ ограничения определите вместе с администратором.

Обсуждаемая в предварительных публикациях настройка session.upload_progress.enabled = 0 пока не подтверждена как защита от обеих уязвимостей и не заменяет обновление PHP.

✅ Информация актуальна на 21 октября 2026 года, 13:45 МСК.

⚠️ Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует

Зафиксирован инцидент в хостинге FirstVDS

Что полезно сделать:

✅ Убедитесь не используются ли у вас в инфраструктуре приложения, которые хостились у данного провайдера - это могут быть не только сайты, но и различные встроенные клиент-серверные модули сторонних разработчиков;

✅ Смените токены и секреты приложений, которые могут быть затронуты, согласно инструкции от FirstVDS.

❗️Не откладывайте: примите необходимые меры прямо сейчас.

Безопасность сторонних модулей обеспечиваем вместе 🔥

Вы уже знаете, что в 1С-Битрикс действует программа «Безопасные интеграции». При этом безопасность решений из Маркета — совместная работа трех сторон.

Рассказываем👇

За что отвеччает разработчик стороннего модуля?
🔴безопасный код и надежное приложение,
🔴техническая поддержка
🔴выпуск обновлений и информирование пользователей.

Именно с ним вы заключаете Пользовательское лицензионное соглашение.

За что отвечает команда 1С-Битрикс?
🔴модерация сторонних решений до публикации,
🔴проверка уже размещенных приложений,
🔴дополнительное информирование пользователей.

За что отвечает клиент?
🔴проверка разработчика и приложения до установки,
🔴контроль доступа к своим данным,
🔴учет используемых модулей,
🔴своевременные обновления.

Важно: Битрикс24 не обновляет сторонние модули автоматически.
Проверяйте обновления в каталогах «1С-Битрикс» и Битрикс24, а также внимательно следите за почтовыми рассылками от разработчиков сторонних решений и от нас.

Если узнали о новой уязвимости в стороннем модуле: сразу сообщите об этом напрямую стороннему разработчику,обязательно продублируйте нам в техническую поддержку.

Давайте вместе делать интеграции безопаснее 👍

3 новые опции в настройках 2ФА в Битрикс24 ⚡️

Администраторы порталов получили больше возможностей для управления подключением мобильного приложения и обязательным использованием 2ФА отдельными сотрудниками или всей компанией. Обновление уже доступно клиентам на облачных тарифах «Профессиональный» и «Энтерпрайз».

1. Вход без подключения мобильного приложения

Появилась настройка для администратора портала «Разрешить подтверждение входа без мобильного приложения». В случае включенной функции пользователи могут пропустить установку доверенного устройства. Главное — подключить хотя бы один из способов входа через 2ФА. Если сотрудник хочет подключить устройство, это можно сделать в разделе «Безопасность».


2. Бессрочное отключение 2ФА для отдельного сотрудника

Теперь выключать 2ФА можно не только на несколько дней, но и бессрочно. Это сделано для случаев, когда на портале есть пользователи, которые технически не могут или не должны использовать 2ФА.


3. Отключение обязательной 2ФА для всего портала

Если администратор считает, что 2ФА на данном портале не нужна, он может самостоятельно отключить её для всех в настройках портала. Включить функцию обратно можно в любое время.

❗️ Важно учитывать, что отключение двухфакторной аутентификации снижает уровень защиты ваших данных. Использовать исключения рекомендуется только при технической или организационной необходимости, особенно внимательно оценивая риски для учетных записей с административными правами.

👉Подробнее

⚠️ Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» предупреждает

Зафиксирована фишинговая рассылка, замаскированная под уведомления Битрикс24. В письмах пользователей просят «подтвердить данные» и направляют на поддельный домен:

❌ bilrix24[.]ru — фишинговый сайт
✅ bitrix24.ru — официальный домен

Обратите внимание: в поддельном адресе буква t заменена на l. Имя отправителя «Bitrix24» также не подтверждает подлинность письма — злоумышленники могут указать его произвольно.

Если вы получили такое сообщение:

✅ не переходите по ссылкам;
✅ не вводите логин, пароль или одноразовые коды;
✅ не скачивайте вложения;
✅ отметьте письмо как фишинг и удалите его;
✅ предупредите коллег.


⚡️Если вы уже перешли по ссылке или передали данные, немедленно смените пароль через официальный портал Битрикс24, включите двухфакторную аутентификацию и сообщите администратору портала и специалистам по информационной безопасности.

Будьте бдительны🙌🏻

⚡️Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует

Зафиксирована уязвимость BDU:2026-10201 в стороннем модуле «Фото До и После: сравнение изображений до/после» разработчика JCode.

Уязвимость не относится к ядру или штатным компонентам платформы «1С-Битрикс». Ей подвержены только сайты, на которых установлен сторонний модуль «Фото До и После» уязвимой версии ниже 1.0.2.

Уязвимость устранена разработчиком JCode. Необходимо в кратчайшие сроки обновить модуль до версии 1.0.2 или выше. Эксплойт существует, при этом, по данным БДУ ФСТЭК России, инцидентов с его эксплуатацией не зафиксировано.

Что полезно сделать:

✅ Убедитесь, что модуль обновлен до версии 1.0.2;
✅ Проверьте журналы веб-сервера и CMS на подозрительные операции загрузки файлов и последующие обращения к ним;
✅ Проверьте каталоги загрузки и файлы модуля на наличие постороннего содержимого;
✅ Проверьте PHP- и JavaScript-файлы, .htaccess и другие конфигурационные файлы;
✅ Проверьте сайт встроенным в CMS инструментом поиска троянов;
✅ Убедитесь в целостности и доступности данных сайта.

❗️Не откладывайте: проверьте установленную версию стороннего модуля и примите необходимые меры прямо сейчас.

⚠️ Рабочее приложение ≠ безопасное

С помощью вайбкодинга приложение можно создать за вечер. Но ИИ нужно просить не только собрать его, но и сделать безопасным.

Вот список требований, которые нужно передать ИИ:

🔴 Проверять и обезвреживать то, что вводят пользователи — чтобы через поле ввода не прошло что-то вредоносное.
🔴 Хранить пароли, ключи и токены отдельно от кода — не в самом коде и не в переписке с ИИ.
🔴 Давать ключам только нужные права — включать режим «только чтение» там, где не нужно менять данные.
🔴 Не открывать публичный доступ без необходимости — только то, что действительно нужно.
🔴 Проверять код в другой сессии или другой моделью — не тем ИИ, что его писал.
🔴 Тестировать приложение на тестовых данных, не на настоящих.
🔴 Включить двухфакторную аутентификацию для пользователей приложения.

Если приложение работает с платежами, медицинскими или персональными данными — код должен проверить специалист по безопасности, а не только ИИ.

💡 Битрикс24 Вайбкод берет часть защиты на себя: например, сервер по умолчанию закрыт для внешнего доступа. Но безопасность самого приложения зависит от того, что вы попросите у ИИ — это важно сделать отдельно.

Несколько минут, чтобы поговорить с ИИ о безопасности обойдутся дешевле, чем потом разбираться с последствиями.
👉 Больше информации читайте в статье.

Новый срок перехода на обязательную 2ФА ⚡

Ранее мы сообщали о переходе на обязательную двухфакторную аутентификацию для порталов на тарифах Профессиональный и Энтерпрайз.

Чтобы вы успели настроить все без спешки, мы продлеваем переходный грейс-период.

До 1 октября 2026 года зайти на портал можно как прежде.

В ближайшее время мы выпустим обновление, которое позволит настроить второй фактор без установки мобильного приложения. Подключить 2ФА смогут сотрудники компаний с запретом на использование личных устройств.

____
👉 Не откладывайте до окончания грейс-периода и настройте 2ФА заранее. Это необходимая база для безопасности ваших же данных.

👉 Почему это важно читайте здесь