Практический разбор · 1С-Битрикс: Управление сайтом
Уязвимости 1С-Битрикс: как проверить обновления ядра и модулей
Практический чек-лист для владельцев сайтов на 1С-Битрикс: проверка обновлений, модулей и доступа к административной части без приписывания платформе неподтверждённых CVE.
Кому нужно проверить
Владельцам сайтов, интернет-магазинов и администраторам 1С-Битрикс: Управление сайтом. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Устаревшее ядро или сторонний модуль могут содержать ошибки контроля доступа, обработки пользовательских данных или загрузки файлов. BotProtection и фильтрация трафика не устраняют дефекты кода и не заменяют обновления.
Затронутые версии
Наличие риска определяется установленной редакцией и версиями ядра и модулей, их поддержкой, настройкой сервера и доступными обновлениями. Публичный номер версии сам по себе не подтверждает уязвимость.
Исправленные версии
Используйте систему обновлений продукта и рекомендации официальной документации 1С-Битрикс. Для конкретной проблемы сверяйте диапазон версий и исправление с сообщением поставщика или разработчика соответствующего модуля.
Что сделать
- 1Уточните продукт: это руководство относится к «1С-Битрикс: Управление сайтом», а не к облачному Битрикс24. Зафиксируйте редакцию, версии ядра и модулей и версию PHP.
- 2Проверьте доступность обновлений через штатную систему продукта и наличие действующей лицензии/поддержки. Перед обновлением сделайте резервные копии файлов и базы данных.
- 3Обновляйте ядро и модули поэтапно на тестовой копии, уделяя внимание обмену с 1С, платежам, оформлению заказа, интеграциям и композитному кешированию.
- 4Проверьте сторонние решения и модули по сообщениям их авторов; удалите неиспользуемые компоненты и ограничьте доступ к административной части по принципу минимально необходимых прав.
- 5При подозрении на взлом сохраните журналы и резервные копии для расследования, смените привилегированные пароли и ключи и обратитесь к поддержке поставщика или профильному специалисту.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.