Cyber1CBitrix - главные новости

В марте 2025 года «1С-Битрикс» выпустил обновление Виртуальной машины до версии 9.0.6, которое исправляет уязвимость, связанную с повышением привилегий bitrix->root (оценка CVSS: 8.0). 

Разработчики PHP выпустили обновления, устраняющие две критические уязвимости. Они могут позволить злоумышленнику выполнить произвольный код на сервере без авторизации.

Информация актуальна на 21 октября 2 026 года, 13:05 МСК. Выпуск обновлений PHP запланирован на 17:00 МСК, или 16:00 по Калининграду. После публикации исправлений мы дополним материал точными версиями и окончательными рекомендациями.

18 октября хостинг‑провайдер FirstVDS сообщил об обнаружении атаки, произошедшей 17 октября. По данным провайдера, злоумышленники воспользовались уязвимостью в системе управления виртуализацией VMmanager 6, которую использовал хостер, и получили доступ к части его инфраструктуры.

В Битрикс24 обновились настройки двухфакторной аутентификации. Администраторы порталов получили больше возможностей управлять подключением мобильного приложения и обязательным использованием 2ФА отдельными сотрудниками или всей компанией.

Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» уведомляет об уязвимости BDU:2026-10201 в стороннем модуле «Фото До и После: сравнение изображений до/после» разработчика JCode (ИП Ратюков Константин Владимирович). Разработчик устранил уязвимость. Пользователям необходимо в кратчайшие сроки обновить модуль до версии 1.0.2.

Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» уведомляет об уязвимости BDU:2026-10202 в стороннем модуле «КОМТЕТ Касса Курьер» разработчика ООО «Комтет». Разработчик уже устранил уязвимость. Пользователям необходимо в кратчайшие сроки обновить модуль до версии 2.8.1 или выше.

Онлайн‑сервис для управления бизнесом Битрикс24 вводит обязательную двухфакторную аутентификацию (2FA) для компаний, работающих на облачных тарифахе «Профессиональный» и «Энтерпрайз». После активации требования каждый сотрудник портала будет подтверждать вход вторым фактором — одноразовым кодом или push‑уведомлением. 

Мы продолжаем следить за безопасностью системного окружения для продуктов 1С-Битрикс и выпустили новую версию bx-nginx 1.30.4. Она закрывает шесть уязвимостей nginx, четыре из них критического уровня. Обновите виртуальные машины до bx-nginx 1.30.4 в ближайшие часы. Если ранее не устанавливали bx-nginx 1.30.3, версия 1.30.4 перекрывает предыдущее обновление.

В облачной версии Битрикс24 теперь можно использовать электронную почту как второй фактор аутентификации. Мера дополнила существующие способы  усиленной проверки входа по OTP, push, SMS и email.

Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» уведомляет об уязвимости в стороннем модуле «Универсальный импорт» разработчика АКРИТ. Разработчик их уже устранил. Пользователям необходимо в кратчайшие сроки обновить модуль до версии 1.79.0.

Центр информационной безопасности и мониторинга инцидентов «1С-Битрикс» добавил в программу «Безопасные интеграции» новый слой проверки подключаемых решений для маркетплейса от сторонних компаний-разработчиков - анализ кода на базе искусственного интеллекта. ИИ-аудит дополняет уже работающие механизмы: статический анализ по правилам, экспертное ревью, публичный реестр уязвимостей и взаимодействие с независимыми исследователями. Расширение программы - собственная инициатива компании в развитие подхода к безопасности экосистемы, который Центр ИБ ведёт на протяжении многих лет.

В мае 2026 года команда nginx и компания F5 раскрыли семь уязвимостей в веб-сервере nginx - одном из самых распространённых компонентов веб-инфраструктуры в мире. 1С-Битрикс выпустил обновлённый пакет bx-nginx 1.30.2 для виртуальной машины VMBitrix. Пакет включает патчи для всех семи уязвимостей nginx, в том числе двух критических - NGINX Rift (CVE-2026-42945) и CVE-2026-9256 ("nginx-poolslip"), для первой из которых в открытом доступе уже есть рабочий эксплойт.

В рамках проекта «Безопасные интеграции» Центра мониторинга инцидентов «1С-Битрикс» в марте 2025 года были выявлены инциденты, связанные со следующими решениями: