Критическое обновление PHP: что проверить владельцам коробочного Битрикс24 и сайтов на «1С-Битрикс»
21 октября 2026 года проект PHP сообщил о выпуске обновлений безопасности для веток 8.2-8.5. Они устраняют две критические уязвимости, при определённых условиях допускающие удалённое выполнение кода без аутентификации. Для коробочного Битрикс24 и «1С-Битрикс: Управление сайтом» важно обновить именно серверный PHP: установка обновлений продукта через SiteUpdate эту задачу не решает.
Что произошло 21 октября 2026 года
Предварительное уведомление PHP анонсировало на 21 октября 2026 года выпуск исправлений двух критических уязвимостей с оценкой CVSS v4.0 9.2. В тот же день официальный архив PHP и PHP Foundation подтвердили выход обновлений для поддерживаемых веток. Согласно описанию PHP Foundation, при определённых условиях уязвимости могли позволить неаутентифицированному атакующему выполнить код на сервере.
Событие касается интерпретатора PHP, то есть внешнего серверного компонента, на котором работают коробочный Битрикс24 и сайты под управлением «1С-Битрикс». Исследованные источники не относят эти две уязвимости к коду самих продуктов. Поэтому обновление PHP закрывает конкретные проблемы PHP, но не заменяет установку исправлений платформы, модулей и операционной системы.
Какие версии PHP содержат исправления
| Ветка | Первая версия с исправлениями | Обновления безопасности ветки |
|---|---|---|
| PHP 8.2 | 8.2.35 | До 31 декабря 2026 года |
| PHP 8.3 | 8.3.36 | До 31 декабря 2027 года |
| PHP 8.4 | 8.4.27 | До 31 декабря 2028 года |
| PHP 8.5 | 8.5.12 | До 31 декабря 2029 года |
Если сервер работает на одной из перечисленных веток, ориентиром служит указанная исправленная версия или более новый выпуск той же ветки. Например, PHP 8.3.36 содержит исправления, а 8.3.35 и более ранние выпуски ветки 8.3 по подтверждённым данным их ещё не содержат.
Срок поддержки ветки важен отдельно от наличия октябрьского исправления. PHP 8.2.35 закрывает рассматриваемые уязвимости, однако поддержка безопасности ветки 8.2 заканчивается раньше, чем у 8.3-8.5. Переход между ветками нельзя выполнять только по этому календарю: сначала необходимо подтвердить совместимость конкретной редакции «1С-Битрикс», установленных модулей, расширений PHP и проектного кода.
Почему SiteUpdate недостаточно
SiteUpdate обновляет ядро и модули продукта, но не заменяет системные пакеты PHP на сервере. Поэтому даже полностью обновлённый через административную панель коробочный Битрикс24 или «1С-Битрикс: Управление сайтом» может продолжать работать на старой сборке PHP.
Обратное тоже верно: установка исправленного PHP не означает, что автоматически устранены уязвимости в ядре продукта, сторонних модулях или собственном коде. Это независимые контуры обслуживания. Для рассматриваемого события нужно отдельно проверить версию серверного PHP, а состояние обновлений продукта контролировать штатными средствами «1С-Битрикс».
Совместимость и ограничения
Универсального подтверждения совместимости для любого проекта нет. Даже при поддержке выбранной ветки ядром продукта препятствием могут стать сторонние модули, устаревшие расширения PHP, интеграции, фоновые задания и собственный код. Особенно внимательно следует относиться к переходу на другую ветку: обновление внутри 8.3 и миграция с 8.2 на 8.4 имеют разный риск изменений поведения.
- Зафиксировать текущие версии PHP, ядра продукта, модулей и обязательных расширений.
- Сверить целевую ветку PHP с требованиями установленной редакции и используемых модулей.
- Проверить проект на копии среды с тем же веб-сервером, расширениями и настройками PHP.
- Проверить авторизацию, административную часть, формы, обмены, загрузку файлов, почту, фоновые задания и интеграции.
- Просмотреть журналы PHP и приложения на предмет новых ошибок и предупреждений.
- Подготовить резервную копию и технически проверенный вариант возврата до изменения рабочей среды.
Это не означает, что обновление следует откладывать до неопределённого срока. Практический смысл проверки состоит в выборе ближайшей исправленной версии, которую проект способен использовать без нарушения критических функций. Обновление рабочей среды разумно согласовать с системным администратором, обслуживающим партнёром или хостинг-провайдером.
Что делать владельцу проекта
Сначала нужно получить подтверждённый номер PHP, которым обслуживается сайт. Если версия ниже 8.2.35, 8.3.36, 8.4.27 или 8.5.12 для соответствующей ветки, рассматриваемые исправления в ней не подтверждены. Далее администратор должен выбрать доступный пакет, оценить совместимость и запланировать замену с резервной копией и возможностью отката.
Если исправленный пакет ещё не появился в панели хостинга или репозитории, это не доказывает безопасность сервера. Следует запросить у провайдера точную версию фактической сборки, наличие перенесённых исправлений и срок предоставления обновления. Иногда поставщик пакета переносит исправление без изменения версии по схеме upstream, поэтому вывод лучше делать по бюллетеню и журналу изменений конкретного дистрибутива, а не только по номеру.
Если провайдер не подтверждает наличие исправления, практические варианты ограничены: ускоренное обновление пакета у текущего поставщика, временный переход на поддерживаемую им исправленную ветку либо перенос проекта в совместимую обновляемую среду. Выбор зависит от результатов проверки проекта; отсутствие пакета в графической панели не следует компенсировать неподготовленной ручной заменой PHP на рабочем сервере.
См. также: MikroTik RouterOS: уязвимости MikroTrick, обновления и проблема LTE.