Назад к новостям
В июне 2024 года команда PHP выпустила исправления для CVE-2024-4577 — уязвимости внедрения аргументов в PHP-CGI на Windows. Проблема особенно важна для серверов, где PHP запускается в режиме CGI и запросы обрабатываются с определёнными системными локалями.
Для сайта на 1С-Битрикс риск находится не в ядре CMS, а во внешнем компоненте серверного окружения. Поэтому обновление модулей 1С-Битрикс не заменяет обновление самого PHP.
Какие конфигурации требуют внимания
В первую очередь проверьте Windows-серверы с PHP-CGI. Если PHP работает через PHP-FPM на Linux, конкретно CVE-2024-4577 к такой схеме не относится, но поддерживаемую версию PHP всё равно необходимо обновлять.
Узнать SAPI можно командой php -i | findstr /I "Server API" в Windows или небольшим диагностическим скриптом с php_sapi_name(). Не оставляйте страницу с phpinfo() в публичном доступе: она раскрывает пути, модули и параметры сервера.
Какие версии содержат исправление
Первичное исправление вошло в PHP 8.1.29, 8.2.20 и 8.3.8. Позже разработчики PHP закрывали дополнительные варианты обхода, поэтому сегодня ориентироваться нужно не на минимальный номер исправления, а на последнюю стабильную сборку поддерживаемой ветки.
На октябрь 2026 года PHP 8.2 получает только критические исправления безопасности до 31 декабря 2026 года. Для нового обновления 1С-Битрикс разумно планировать PHP 8.4, который указан разработчиком продукта как рекомендуемая версия, но сначала проверить совместимость проекта и сторонних модулей.
Порядок безопасного обновления
- Зафиксируйте текущую версию PHP, SAPI, список расширений и параметры
php.ini. - Сделайте резервную копию файлов и базы данных, затем проверьте восстановление на тестовом контуре.
- Обновите PHP до актуального патч-релиза поддерживаемой ветки из доверенного репозитория.
- Проверьте обязательные расширения 1С-Битрикс, фоновые задания, отправку почты, загрузку файлов и обмены.
- Закройте прямой доступ к CGI-интерпретатору и убедитесь, что веб-сервер передаёт запросы только через ожидаемую конфигурацию.
Что проверить после обновления
Откройте административную часть, запустите проверку системы, выполните основные пользовательские сценарии и изучите журналы PHP и веб-сервера. Обратите внимание на необычные запросы с закодированными параметрами, внезапные ошибки CGI и появление неизвестных файлов.
Если есть признаки эксплуатации, одного обновления недостаточно. Изолируйте сервер, сохраните журналы, смените секреты и пароли, проверьте целостность проекта и восстанавливайте систему из доверенной копии.
Официальные источники
Что нужно проверить в первую очередь
Режим работы PHP
Определите SAPI и выясните, используется ли PHP-CGI на Windows.
Версия PHP
Сравните установленную ветку с актуальным исправленным выпуском.
Доступность CGI
Убедитесь, что интерпретатор нельзя вызвать напрямую из интернета.
Журналы запросов
Проверьте подозрительные параметры, ошибки CGI и неожиданные дочерние процессы.
Результат проверки
Понимание, относится ли уязвимость к вашей конфигурации.- Обновлённая версия PHP из поддерживаемой ветки.
- Закрытый прямой доступ к CGI и проверенные правила веб-сервера.
- План контроля журналов и восстановления из доверенной копии при признаках взлома.
CVE-2024-4577 относится к PHP-CGI на Windows и использованию особенностей преобразования символов в некоторых локалях. Обновление PHP — основная мера защиты; правила веб-сервера рассматривайте только как дополнительный слой.
Нужно проверить безопасность сервера 1С-Битрикс?
Проверим версию и режим PHP, конфигурацию веб-сервера, журналы запросов и подготовим безопасный план обновления.
Обсудить задачу
