Вышли критические обновления PHP с исправлением двух уязвимостей
Исправления вошли в выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимости затрагивают внешний серверный компонент PHP, а не код продуктов «1С-Битрикс», поэтому защита сайта или коробочного портала Битрикс24 требует обновления PHP на сервере. Обновление продукта через SiteUpdate эту процедуру не заменяет.
Готовые пакеты появляются в разных репозиториях не одновременно, поэтому обычная проверка обновлений может пока не предложить исправленную версию. Репозиторий remi уже выпустил сборки всех поддерживаемых веток. Если исправленного пакета в репозитории нет, совместимые пакеты устанавливают вручную.
Успешное выполнение команды обновления само по себе не подтверждает устранение уязвимостей: нужно проверить, какая сборка PHP фактически обслуживает сайт. Перед установкой следует проверить резервную копию сайта, базы данных и конфигурации сервера и протестировать совместимость обновления в тестовом окружении.
Для конфигурации с Apache и модулем PHP требуется перезапустить Apache, для PHP-FPM — соответствующие службы; перезапуска одного nginx недостаточно. В контейнерных развёртываниях образ приложения пересобирают с исправленной версией PHP и необходимыми расширениями, а затем пересоздают контейнеры, сохранив конфигурацию и тома. Перед удалением старых контейнеров проверяют сохранность данных, поскольку файлы в записываемом слое удаляются вместе с контейнером.
После развёртывания проверяют версию PHP в работающем приложении, авторизацию, работу CRM, загрузку файлов, почту и интеграции. Если проект работает на нескольких серверах, обновить нужно каждый из них.
Пока исправления не установлены, можно снизить риск отдельных вариантов атаки, отключив механизм отслеживания загрузки файлов. Для BitrixVM 9.x настройку добавляют в /etc/php.d/z_bx_custom.ini, после чего перезапускают процессы, исполняющие PHP. Эта мера не закрывает обе уязвимости полностью и не заменяет обновление, а если оперативная установка невозможна, вместе с администратором стоит рассмотреть временное ограничение доступа к системе из интернета.