В PHP исправили две критические уязвимости с выполнением кода без авторизации

Разработчики PHP выпустили обновления, устраняющие две критические уязвимости. При определённых условиях они могут позволить злоумышленнику выполнить произвольный код на сервере без авторизации.

Проблемы относятся к внешнему серверному компоненту PHP, а не к программному коду продуктов «1С-Битрикс». Поэтому для защиты сайта или портала необходимо обновить PHP непосредственно на сервере. Обновление продукта через SiteUpdate не заменяет эту процедуру.

Какие версии нужно установить

Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Администратору следует выбрать выпуск той же ветки, которую использует проект, предварительно проверив совместимость обновления с CMS, расширениями и прикладным кодом.

Пакеты появляются в репозиториях не одновременно, поэтому штатная проверка обновлений может временно не показывать исправленную версию. Репозиторий Remi уже выпустил сборки всех поддерживаемых веток PHP. Если нужного пакета нет в используемом репозитории, совместимую исправленную сборку можно установить вручную.

Само успешное выполнение команды обновления не подтверждает, что сайт действительно работает на защищённой версии. После установки нужно проверить фактическую сборку PHP, обслуживающую приложение. Если проект размещён на нескольких серверах, обновление требуется выполнить на каждом из них.

Что проверить перед обновлением

• создать резервные копии сайта, базы данных и конфигурации сервера;
• проверить обновление в тестовом окружении;
• обновить сведения о пакетах и убедиться, что исправленная версия доступна в подключённых репозиториях;
• установить PHP вместе с необходимыми зависимостями;
• после установки проверить версию PHP и работу основных функций сайта.

Для конфигураций Apache с модулем PHP необходимо перезапустить Apache. Если используется PHP-FPM, следует перезапустить соответствующие службы PHP-FPM. Одного перезапуска nginx недостаточно: уже запущенные процессы PHP-FPM продолжат работать со старой версией или конфигурацией.

После обновления рекомендуется проверить авторизацию, CRM-функции, загрузку файлов, почту и внешние интеграции. Инструкцию стоит передать системному администратору, обслуживающему партнёру или хостинг-провайдеру.

Временные меры

Пока исправление не установлено, для BitrixVM 9.x можно временно отключить механизм отслеживания загрузки файлов, добавив настройку в файл /etc/php.d/z_bx_custom.ini. Это файл пользовательских настроек, предусмотренный документацией BitrixVM. После изменения конфигурации нужно перезапустить процессы, исполняющие PHP, и проверить применение параметра.

Такая мера снижает риск только отдельных вариантов атаки, не устраняет обе уязвимости полностью и не заменяет обновление PHP. Если оперативно установить исправления невозможно, вместе с администратором следует рассмотреть временное ограничение доступа к системе из интернета.

Особенности контейнеров

В контейнерных окружениях необходимо обновить или пересобрать образ приложения с исправленной версией PHP и нужными расширениями, а затем штатным способом пересоздать контейнеры. Конфигурацию и подключённые тома следует сохранить.

Перед удалением старых контейнеров важно проверить сохранность данных: файлы, записанные во внутренний слой контейнера, удаляются вместе с ним. После развёртывания нужно проверить версию PHP в работающем приложении и протестировать основные функции сайта или портала.

Команда PHP предоставила исправления исходного кода для затронутых веток, однако готовые пакеты могут появляться у поставщиков с задержкой. До установки обновления необходимо уточнить доступность сборки и согласовать с администратором использование подтверждённой исправленной версии либо переход на другую поддерживаемую ветку PHP.