BetaBeta: базовая защита бесплатно, расширенный тариф — 90 ₽ в день.Проект в стадии beta — базовая защита навсегда бесплатно, расширенный тариф — 90 ₽ в день с поминутным списанием.
Уязвимости сайта: как понять риск и защитить бизнес
Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.
OpenSSL 3.0.0–3.0.6 мог повредить память при проверке особого адреса электронной почты в сертификате. Проверьте приложения, использующие эту библиотеку, и обновите их: сервер и клиент затронуты при разных условиях.
Администраторам HTTPS-клиентов, интеграций и серверов с проверкой клиентских сертификатов, а также разработчикам приложений на OpenSSL 3.0. Проверять нужно используемую библиотеку каждого приложения, включая контейнеры.
Ошибка установки сторонних доверенных расширений PostgreSQL могла дать лишние права пользователю базы. Условия достаточно узкие: проверьте не только версию сервера, но и доступные расширения и право CREATE.
Администраторам PostgreSQL и разработчикам, которые устанавливают сторонние расширения или выдают приложению право создавать объекты базы. Особенно полезно проверить общие серверы с несколькими командами.
Redis предназначен для доверенных клиентов, а не для открытого доступа посетителей сайта. Проверьте сетевую доступность, ограничьте подключения и выдайте приложению только нужные права без раскрытия паролей.
Владельцам сайтов, использующих Redis для кеша, очередей или сеансов. Изменения выполняет администратор вместе с разработчиком: закрытие порта без учёта клиентов может остановить сайт.
Пользователь с разрешением sudoedit мог редактировать файлы сверх разрешённого списка в старых версиях sudo. Проверьте пакет и делегированные права: обычного наличия локального аккаунта для этой ошибки недостаточно.
Администраторам Linux-серверов, где сотрудникам или сервисным аккаунтам разрешено менять отдельные системные файлы через sudoedit. Особенно важно проверить серверы с несколькими пользователями.
Ошибка обработки partial PUT в Tomcat могла раскрывать или изменять файлы, а при дополнительных условиях — выполнять код. Проверьте разрешение записи Default Servlet, хранение сеансов и версию сервера.
Администраторам Java-сайтов и приложений на Tomcat, особенно с загрузкой файлов и сохранением сеансов на диск. Проверять нужно также Tomcat, встроенный в приложение или образ поставщика.
В AI File to Text версиях ниже 1.0.1 проверка доступа к файлу недостаточна: пользователь с правом вызывать AI-инструменты может извлечь текст из недоступных ему файлов, включая private file system. Проверьте модуль и права до обновления.
Администраторам Drupal с модулем AI File to Text, AI Agent или AI API Explorer, особенно сайтам, где в private file system хранятся документы пользователей или внутренние файлы.
Проверьте Drupal-сайт с Monster Menus: критическая PHP object injection затрагивает версии ниже 9.5.6 только при включённом RSS Page и доступе роли к созданию RSS Feed. Обновление модуля устраняет дефект.
Администраторам Drupal, использующим модуль Monster Menus, особенно сайтам, где включён RSS Page и редакторам разрешено создавать RSS Feed.
Если Drupal использует Rabbit Hole для скрытия материалов, анонимный посетитель может обойти правило через специальный query-параметр. Проверьте версию модуля и обновитесь до 1.3; отдельно ограничьте запись через API и bulk-операции.
Администраторам Drupal, применяющим Rabbit Hole для скрытия или перенаправления страниц сущностей, а также тем, кто включает запись через JSON:API, REST или Views Bulk Operations.
Две критические ошибки в PHP позволяют удалённое выполнение кода без учётной записи при определённых условиях обработки запросов и состояния worker-процесса. Проверьте именно версию PHP веб-сайта, а не только CLI, обновитесь до исправленной ветки и учтите подтверждённые попытки эксплуатации до публичного раскрытия.
Владельцам сайтов и системным администраторам, использующим PHP-FPM, Apache mod_php, FrankenPHP или другие worker-based PHP-развёртывания; администраторам WordPress, 1С-Битрикс и Joomla; технической поддержке российских хостинг-провайдеров.
Инструкция владельцу сайта: как узнать фактическую версию PHP веб-процесса, проверить срок поддержки и согласовать обновление с хостингом без простоя WordPress, 1С-Битрикс или Joomla.
Владельцам сайтов и администраторам российских shared/VPS-хостингов, WordPress, 1С-Битрикс и Joomla.
Практический чек-лист для владельцев сайтов на 1С-Битрикс: проверка обновлений, модулей и доступа к административной части без приписывания платформе неподтверждённых CVE.
Владельцам сайтов, интернет-магазинов и администраторам 1С-Битрикс: Управление сайтом.
Практический разбор безопасности WordPress: почему риск часто связан с плагинами и темами, как проверить обновления и что делать при обнаружении подозрительной активности.
Владельцам сайтов, администраторам WordPress и веб-студиям.
Сначала подтвердите стек и версии. Наличие WordPress, Linux или конкретной библиотеки само по себе не означает, что система уязвима.
Сверьте рекомендации с поставщиком. Дистрибутивы и хостинги могут выпускать backport-исправления, не меняя базовый номер версии.
Снизьте шанс автоматизированной атаки. BotProtection фильтрует подозрительные запросы до сайта, поэтому ботам сложнее добраться до уязвимого компонента. Это дополнительный слой защиты, а не исправление самой уязвимости.
Каждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.
Не дайте ботам добраться до уязвимого сайта
BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.
