21 октября 2026 года вышли срочные обновления PHP: закрыты две критические уязвимости, через которые можно выполнить код на сервере без входа в админку. Обновление «1С-Битрикс» через SiteUpdate эту проблему не закрывает.
Что произошло
21 октября 2026 года команда PHP выпустила внеплановые обновления. В них закрыты две критические уязвимости: без пароля и без входа в админку можно заставить сервер выполнить посторонний код. Для владельца сайта это означает риск утечки данных и любых изменений на сайте.
Проблема в самом PHP, а не в коде «1С-Битрикс: Управление сайтом» и не в коробочном Битрикс24. Поэтому обновление продукта через SiteUpdate ситуацию не исправляет. Пока на сервере старая сборка PHP, сайт остаётся уязвимым, даже если сама CMS уже обновлена.
Затронуты почти все проекты, которые сами исполняют PHP: сайты на Битрикс, коробочный Битрикс24, WordPress, MODX, OpenCart и самописные системы. Исключение — конструкторы вроде Tilda и Wix: там сервером управляет платформа, а не владелец сайта.
Какие версии уже исправлены
Готовые исправления вошли в релизы поддерживаемых веток:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Нужна исправленная сборка своей ветки. Если сайт работает на 8.3.28, цель — 8.3.36, а не переход на другую мажорную версию. Пакеты у хостеров и в репозиториях появляются не одновременно: обычная проверка обновлений может ещё не показывать нужную версию. После установки сверьте номер сборки, которая реально открывает сайт.
PHP 7.4, 8.0 и 8.1 уже не получают официальных релизов. Для них команда PHP опубликовала исходные исправления, а готовые пакеты зависят от хостера или поставщика сборки. Для сайта на Битрикс надёжный путь — перейти на поддерживаемую ветку 8.2 или новее и сразу поставить исправленный выпуск. PHP 8.2 перестанет получать обновления безопасности 31 декабря 2026 года, поэтому при плановом переходе лучше сразу смотреть на 8.3 или новее, если проект это позволяет.
Как узнать версию PHP
- В панели хостинга — в настройках сайта или интерпретатора.
- В «1С-Битрикс» откройте в админке страницу /bitrix/admin/phpinfo.php. Версия указана в первой строке.
- В WordPress — «Инструменты» → «Здоровье сайта» → «Информация» → «Сервер».
- Если доступа нет, запросите точный номер у разработчика или в поддержке хостинга. Важен номер той сборки, которая обслуживает именно этот сайт.
Что делать
PHP 8.2 или новее
Достаточно патча в текущей ветке.
- Виртуальный хостинг. Напишите в поддержку и попросите обновить PHP до исправленного выпуска вашей ветки: 8.2.35, 8.3.36, 8.4.27 или 8.5.12. Часть хостеров ставит обновление сама, но ответ и повторную проверку версии лучше не пропускать.
- Свой сервер или VPS. Обновление делает администратор: через панель (ispmanager, FASTPANEL и аналоги) или пакетный менеджер. После установки перезапускают службу, которая исполняет PHP. Если PHP подключён как модуль Apache, перезапускается Apache. Если используется PHP-FPM, перезапускаются процессы PHP-FPM. Перезапуск одного nginx эти процессы не обновляет.
PHP 8.1, 8.0, 7.4 и старше
Сначала уточните у хостера, есть ли исправленная сборка вашей старой ветки. Отдельные площадки могут поставить патч и на неподдерживаемую версию. Это временная мера: на старой ветке лучше не оставаться.
Переход на PHP 8.2 и новее — это не кнопка в панели. Сначала копия сайта, проверка совместимости и правки кода, и только потом переключение боевого сайта. Для коробочного Битрикс24 и «Управления сайтом» сверьтесь с матрицей совместимости вашей редакции.
Коробочный Битрикс24 и BitrixVM
Передайте задачу администратору сервера или партнёру, который обслуживает коробку. Рабочий порядок такой:
- Проверить резервную копию файлов, базы и конфигурации. Совместимость обновления лучше прогнать на тестовой копии.
- Обновить список пакетов и посмотреть, появилась ли исправленная версия PHP. У части сборок пакеты уже есть в репозитории Remi, а в основном репозитории — ещё нет. Если готового пакета нет, ставят совместимую исправленную сборку вручную.
- Установить обновление PHP вместе с зависимостями.
- Перезапустить Apache или PHP-FPM — в зависимости от того, как PHP подключён.
- Убедиться, что сайт или портал открывается уже на исправленной сборке. Проверить авторизацию, CRM, загрузку файлов, почту и интеграции. Если серверов несколько, обновить нужно каждый.
Контейнеры
Обновляют или пересобирают образ с исправленным PHP и нужными расширениями, затем пересоздают контейнеры штатным способом и сохраняют подключённые тома. Файлы, которые лежали только в записываемом слое контейнера, при его удалении пропадают. После запуска снова проверяют версию PHP уже внутри работающего контейнера.
Как понять, что риск закрыт
Успешная команда обновления сама по себе ничего не доказывает. Откройте phpinfo или панель хостинга и сверьте номер: 8.2.35, 8.3.36, 8.4.27 или 8.5.12 — либо сборку поставщика, где эти исправления явно указаны. Затем пройдите основные сценарии: вход в админку, формы, корзину, обмен с 1С, почту и загрузку файлов.
Полной замены обновлению нет. Временные настройки, которые описывает команда PHP, лишь сужают отдельные сценарии и не делают сервер безопасным. Пока патч не установлен, сайт лучше считать незакрытым.
Если перестала работать загрузка файлов
Пока хостер не обновил PHP, он может временно ограничить загрузку файлов через сайт. Тогда не сохраняются картинки в админке и не уходят формы с вложениями. Ограничение обычно снимают после обновления PHP. Если загрузка пропала, сначала уточните у хостинга, не включена ли такая мера.
Короткий чек-лист
- Узнать точную версию PHP, которая обслуживает сайт.
- На 8.2 и новее — поставить исправленный выпуск своей ветки.
- На 8.1 и старше — спросить хостера про патч и запланировать переход на поддерживаемую ветку через тестовую копию.
- Не считать обновление Битрикс через SiteUpdate заменой обновления PHP.
- После работ проверить версию и ключевые функции сайта или портала.
Если своего администратора нет, задачу можно передать техподдержке: мы согласуем обновление с хостингом или выполним его на сервере и проверим, что сайт после этого работает.