Уязвимости в PHP: что важно знать пользователям Битрикс24 и «1С-Битрикс: Управление сайтом»
Уязвимости обнаружены не в коде Битрикс24 или «1С-Битрикс: Управление сайтом», а во внешнем компоненте – PHP. Это серверная технология, которую используют многие сайты и сервисы по всему миру. Поэтому угроза высочайшего уровня, и надо срочно принимать меры!
Разработчики PHP сообщили о двух критических уязвимостях. Выпуск исправлений они запланировали сегодня, 21 октября, на 17:00 МСК.
Если вы пользуетесь облачным Битрикс24
Самостоятельно обновлять PHP для вашего портала не нужно – серверы обслуживает наша команда.
Мы уже принимаем необходимые меры для защиты данных наших клиентов в облаке. В качестве срочной меры предосторожности временно ограничиваем часть возможностей Битрикс24 – до установки исправлений и завершения необходимых проверок безопасности. Это поможет снизить риски! Понимаем, что это может повлиять на привычную работу, но безопасность ваших данных – приоритет номер 1.
После выхода исправлений команде потребуется время на их установку и проверку. О восстановлении работы сообщим отдельно.
Если у вас коробочный Битрикс24 или сайт на «1С-Битрикс: Управление сайтом»
Обновление PHP на вашем сервере должен установить специалист, который его обслуживает.
Уже сейчас перешлите это сообщение системному администратору, обслуживающему интегратору или хостингу. Попросите:
- проверить используемую версию PHP и подготовить обновление;
- оперативно установить необходимые исправления после их выхода;
- проверить работу сайта или портала после обновления.
PHP обновляется отдельно от самого продукта Битрикс – на уровне сервера. Разбираться в технических настройках самостоятельно не нужно: передайте задачу специалисту.
Критическое обновление PHP: инструкция для владельцев коробочного Битрикс24 и сайтов на «1С-Битрикс: Управление сайтом»
Разработчики PHP выпустили обновления, устраняющие две критические уязвимости. Они могут позволить злоумышленнику выполнить произвольный код на сервере без авторизации.
Уязвимости обнаружены во внешнем серверном компоненте PHP, а не в коде продуктов «1С-Битрикс». Для защиты сайта или портала необходимо обновить PHP на сервере. Обновление продукта через SiteUpdate не заменяет эту процедуру.
Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Установите исправленный выпуск используемой ветки с учётом совместимости вашего проекта. Подробности — в официальном уведомлении PHP.
Передайте эту инструкцию системному администратору, обслуживающему партнёру или хостингу.
Доступность обновлений в репозиториях
Готовые пакеты появляются в разных репозиториях не одновременно. Поэтому обычная проверка обновлений может пока не предложить исправленную версию PHP.
При этом репозиторий remi уже выпустил сборки всех поддерживаемых версий.
Если исправленного пакета нет в вашем репозитории, установите совместимые исправленные пакеты вручную.
Успешное выполнение команды обновления само по себе не подтверждает устранение уязвимостей: необходимо проверить, какая сборка PHP фактически обслуживает сайт.
Порядок обновления BitrixVM 9.x
- Проверьте резервную копию сайта, базы данных и конфигурации сервера. Проведите проверку совместимости обновления в тестовом окружении.
- Обновите сведения о пакетах и проверьте доступность исправленной версии PHP в подключённых репозиториях.
- Установите обновление PHP вместе с необходимыми зависимостями. Если исправленных пакетов в репозитории ещё нет, используйте инструкцию по ручной установке.
- Для конфигурации с Apache и модулем PHP перезапустите Apache:
systemctl restart httpd.service - Убедитесь, что сайт использует исправленную сборку PHP. Проверьте авторизацию, работу CRM, загрузку файлов, почту и интеграции. Если проект работает на нескольких серверах, обновите каждый из них.
Временные меры на период установки обновления
Пока исправления не установлены, можно снизить риск отдельных вариантов атаки, отключив механизм отслеживания загрузки файлов:
session.upload_progress.enabled = Off
Для BitrixVM 9.x добавьте настройку в /etc/php.d/z_bx_custom.ini — файл пользовательских настроек, предусмотренный документацией BitrixVM. Затем перезапустите процессы, исполняющие PHP, и проверьте применение настройки.
Эта мера не закрывает обе уязвимости полностью и не заменяет обновление PHP. Дополнительные временные меры описаны в рекомендациях разработчиков PHP. Если оперативная установка исправлений невозможна, вместе с администратором рассмотрите временное ограничение доступа к системе из интернета.
Для других серверных окружений
Обновите PHP штатным пакетным менеджером либо установите совместимые исправленные пакеты вручную. После установки перезапустите службы, которые исполняют PHP: Apache при использовании mod_php или соответствующие службы PHP-FPM.
Перезапуска одного nginx недостаточно для обновления работающих процессов PHP-FPM.
Для контейнеров
Обновите или пересоберите образ приложения с исправленной версией PHP и необходимыми расширениями. Затем пересоздайте контейнеры штатным способом, сохранив конфигурацию и подключённые тома.
Перед удалением старых контейнеров проверьте сохранность данных: файлы в записываемом слое контейнера удаляются вместе с ним. Подробнее — в документации Docker.
После развёртывания проверьте версию PHP в работающем приложении и основные функции сайта или портала.
Если используется PHP 7.4, 8.0 или 8.1
Команда PHP предоставила исправления исходного кода для этих веток. Доступность готовых пакетов нужно уточнять у поставщика. Согласуйте с администратором установку подтверждённой исправленной сборки или переход на поддерживаемую версию PHP.
Подробнее: https://habr.com/ru/news/1097256/
UPD 14:58. Уточняем, что сейчас происходит в облачном Битрикс24
В предыдущем посте мы предупредили о серьёзных уязвимостях, найденных сегодня в языке программирования PHP. Чтобы максимально защитить ваши данные, мы вводим временные ограничения в работе облака Битрикс24.
Они могут затрагивать, к примеру, работу с формами и файлами. Могут быть и другие сложности с работой. Это не авария, а осознанная крайняя мера.
Безопасность ваших данных для нас – основной приоритет на время устранения угрозы. Понимаем, что ограничения мешают вашей работе. Введение таких ограничений необходимо – мы не можем рисковать безопасностью!
17:00 МСК – время ожидаемого выпуска исправлений разработчиками PHP, а не срок восстановления всех функций. После этого потребуется время на установку и проверку.
О восстановлении работы сообщим отдельно.
UPD 17:57. Разработчики PHP уже выпустили исправления
Сейчас мы готовим и тестируем обновление серверов облачного Битрикс24. Просим набраться терпения – наша команда постарается сделать всё настолько быстро, насколько это вообще возможно.
Для защиты ваших данных временные ограничения пока сохраняются. Они могут затрагивать формы, сделки в CRM, письма и бизнес-процессы.
Будем возвращать функции поэтапно после установки исправлений и проверок безопасности. О восстановлении сообщим отдельно. Напоминаем, что это крайняя мера, на которую мы пошли для сохранения в безопасности ваших данных.
