Что произошло
20 октября в сеть утекли детали уязвимостей PHP2Shell. По данным исследователей, уязвимый код присутствует во всех версиях PHP, выпущенных с 2012 года. То есть атаковать можно практически любой сайт со старой версией PHP.
Что происходит при атаке: злоумышленник отправляет сайту специальный запрос. Например, через обычную форму с загрузкой файла. Из-за ошибки в обработке памяти сервер начинает путать данные разных посетителей и в этот момент атакующий выполняет на сайте свой код. Без пароля, без доступа к администратору, извне. Так злоумышленник может:
- выкачать базу клиентов и заказов;
- встроить вирус или подмененную страницу оплаты;
- перенаправлять посетителей на мошеннические сайты;
- закрыть вам доступ к собственному сайту.
Масштаб проблемы понятен по списку целей: атака сработала на сайтах WordPress, Drupal, Magento, Joomla, phpMyAdmin, Nextcloud и другими популярными системами.
21 октября разработчики PHP выпустили исправления для двух уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе получили критический рейтинг опасности — 9,2 из 10.
Сервис Cloudflare зафиксировал первые попытки атак еще до выхода исправлений. Автоматические сканеры прочесывают интернет в поисках необновленных сайтов прямо сейчас.
Важно понимать: проблема не в коде 1С-Битрикс или Аспро, а в самом PHP — языке программирования, на котором работают миллионы сайтов по всему миру. Ваш сайт в том числе может быть уязвим. Поэтому уровень угрозы — высокий, и медлить с мерами нельзя.
Что важно сделать сейчас
Исправления уже вышли — действовать следует оперативно, потому что атаками на такие уязвимости злоумышленники начинают пользоваться в первые часы после их раскрытия.
Что нужно сделать:
- Проверьте, какая версия PHP используется на сервере. Для этого администратору сайта достаточно перейти по адресу адрес_вашего_сайта/bitrix/admin/phpinfo.php.
- Проверьте резервную копию сайта, базы данных и конфигурации сервера. Проведите проверку совместимости обновления в тестовом окружении.
- Убедитесь что установлены последние версии Аспро и 1С-Битрикс для корректной работы на новых версиях PHP.
- Обновите сведения о пакетах и проверьте доступность исправленной версии PHP в подключенных репозиториях.
- Установите исправления PHP — они вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для этого обратитесь к специалистам вашего хостинга.
- Перезапустите PHP или веб-сервер. Если сайт работает на PHP-FPM, то перезапустите службу PHP-FPM, если на Apache с модулем PHP, то перезапустите Apache. После перезапуска убедитесь, что сайт использует новую версию PHP.
- Проверьте работу сайта после обновления: главную страницу, карточки товара, корзину, оформление заказа, обмен с 1С и платежные системы.
Обойти уязвимость настройками нельзя — разработчики PHP прямо заявляют, что полноценной защиты, кроме обновления, не существует.
Если у вас версия PHP 8.1 и ниже
Если ваш сайт работает на старой версии PHP (8.1 и ниже), исправлений для него не будет: патчи выпущены только для поддерживаемых версий. Это значит, что сайт не защищен ничем, и версию PHP нужно срочно повышать.
Технически это можно сделать самостоятельно по нашей инструкции. Но есть два момента, когда без специалистов это делать рискованно:
- Если сайт до сих пор работает на PHP 7+, переход на 8-ю версию — это не обновление, а миграция со сменой поколения.
- Если на сайт вносили кастомные доработки, они могут быть несовместимы с новой версией, а проверить это до обновления важнее, чем после.
Поэтому эту работу вы можете доверить нам: специалисты Аспро переведут ваш сайт на актуальную версию PHP — проверят совместимость решений, платформы и кастомных доработок, обновят, перезапустят и убедятся, что все работает. Оставьте заявку по кнопке ниже, и мы поможем вам.
О чем еще важно знать
Все активные решения Аспро работают на PHP 8.5 — самой новой поддерживаемой версии. Если ваш сайт создан на нашем решении, обновление до исправленной версии 8.5.12 пройдет быстро и безболезненно.
Обновление PHP — не единственное, что стоит держать актуальным. В обновлениях 1С-Битрикс и решений Аспро мы и разработчики платформы регулярно закрываем уязвимости, усиливаем защиту от атак и добавляем новый функционал.
Обновления этой осени:
- Аспро: Премьер — автозаполнение реквизитов, списки желаний, поиск по значениям свойств в фильтре и другие улучшения.
- Аспро: Лайтшоп — инструмент для работы с маркетинговыми окнами, редактор номеров телефона и вывод информации об НДС.
- Аспро: Максимум — метки на фото со ссылками на товары и возможность поделиться корзиной.
- Аспро: Корпоративный сайт 3.0 — избранные товары и инструмент для работы с маркетинговыми окнами.
Все обновления: исправления безопасности и новый функционал — доступны для вашего сайта, пока действует активная лицензия решения. Если срок лицензии подходит к концу, продлите ее, чтобы сайт продолжал получать защиту от актуальных угроз.
