Почему ломают сайты на 1С-Битрикс и как проверить свой

В октябре 2025 года компания CyberOK просканировала Рунет и насчитала около миллиона работающих установок 1С-Битрикс. Примерно 150 тысяч из них отвечали так, будто на сайте открыта критическая уязвимость, которую вендор закрыл двумя годами раньше.

Это и есть короткий ответ на вопрос, почему ломают сайты на Битриксе. Не потому что платформа плохая. Потому что обновление вышло, а поставить его никто не пришёл.

Почему мишенью выбирают эту платформу

На 1С-Битрикс работают интернет-магазины, корпоративные сайты и порталы. Там клиентские базы, заказы и деньги, а значит есть ради чего стараться. Главное же, что эти сайты похожи друг на друга: один рабочий эксплойт открывает сразу тысячи дверей, и искать его выгодно.

Вторая причина скучнее. Корпоративный сайт делают один раз и дальше к нему не возвращаются. Разработчик сдал проект и ушёл, подрядчика на поддержке нет, обновления копятся. Сайт при этом работает. Именно это и усыпляет: раз страницы открываются, значит всё в порядке.

Третья причина техническая. Как только выходит исправление, описание дыры попадает в открытые базы: реестр ФСТЭК, каталоги CVE, разборы исследователей. Через неделю её умеет использовать любой автоматический сканер. Необновлённый сайт не прячется в тени, он стоит с табличкой.

Четыре двери

Ядро, которое не обновляли

Самый частый случай. Показательный пример: дыра в модуле «Конструктор сайтов» (BDU:2023-05857), оценка 10 из 10, выполнение кода на сервере без авторизации. Исправление вышло, прошло два года, следы находят у 150 тысяч сайтов.

Рядом стоит история про лицензию. Обновления к «1С-Битрикс: Управление сайтом» доступны год, дальше нужно продление. Без него сайт живёт и работает, но исправления безопасности до него больше не доходят. Дальше это арифметика, а не везение.

Решения из Маркетплейса

Волны взломов 2024–2025 годов шли в основном не через ядро. Ломали через тиражные решения и шаблоны: уязвимость в популярном продукте сразу даёт сотни одинаковых целей. Обновлять нужно всё, что установлено, включая темы оформления.

Хуже обстоит с заброшенными модулями. Решение, которое не обновлялось три года, не получит исправления и завтра, когда в нём найдут дыру.

Сервер под сайтом

Уязвимость может быть этажом ниже: в PHP, веб-сервере, панели управления хостингом. В октябре 2026 года именно так и произошло с уязвимостями PHP: код выполнялся без авторизации, а закрывалось это обновлением сервера. SiteUpdate тут бесполезен, он обновляет продукт.

Доступы

Скучная дверь, которая открывается чаще остальных. Пароль администратора из пяти символов. Общий логин «для разработчиков», который знают четыре бывших подрядчика. FTP без шифрования. Ключ, забытый в публичном репозитории. Здесь даже уязвимость не нужна.

Что делают со взломанным сайтом

Первым делом ставят веб-шелл: файл, через который выполняют команды. Прячут его обычно в каталоге загрузок, среди картинок, с безобидным именем.

Дальше начинается монетизация. Посетителей перенаправляют на чужие ресурсы, причём избирательно: только с мобильных или только тех, кто пришёл из поиска. Владелец, заходящий по закладке с рабочего компьютера, не видит ничего. С домена рассылают спам, после чего письма компании перестают доходить до клиентов вообще. В страницы вставляют скрытые ссылки, и сайт медленно теряет позиции без видимой причины.

Два сценария дороже остальных. Первый: крадут базу клиентов и заказов, и это уже утечка персональных данных со всеми обязанностями оператора. Второй: подменяют реквизиты на странице оплаты. О втором компании обычно узнают от самих клиентов, которые оплатили счёт и ждут товар.

Пятнадцать минут на проверку

1. Откройте административную часть и посмотрите версию ядра и дату последних установленных обновлений. Если система пишет, что обновлений нет, проверьте лицензию: просроченная их просто не показывает.
2. Проверьте, включена ли проактивная защита и ведётся ли журнал вторжений.
3. Запустите штатный сканер безопасности и прочитайте критические замечания. Общий балл ни о чём не говорит.
4. Отсортируйте каталог загрузок по дате изменения. Файлы с расширением php среди картинок — почти наверняка веб-шелл.
5. Посмотрите список пользователей с полными правами. Незнакомые учётные записи и доступы бывших подрядчиков уберите.
6. Проверьте сайт в Яндекс Вебмастере на заражение, а домен — на попадание в спам-списки.
7. Откройте сайт с телефона и отдельно перейдите на него из поиска. Избирательные редиректы видны только так.

Часть этого, вместе с заголовками безопасности и открытыми служебными файлами, покажет экспресс-аудит: он смотрит снаружи и занимает минуту.

Если нашли следы

Не удаляйте файлы сразу. Вместе с ними исчезнет возможность понять, как попали внутрь, и через сутки всё повторится. Сначала закрыть сайт, сохранить текущее состояние вместе с журналами, сменить доступы, найти точку входа. Чистка последней. Порядок подробно разобран в инструкции что делать, если сайт взломали.

Как перестать беспокоиться

Раз в квартал обновляйте продукт и установленные решения: на тестовой копии, с резервной копией перед установкой. Порядок описан в инструкции как обновить 1С-Битрикс. Следите за лицензией — без неё обновлений не будет, а продление стоит 25% от цены редакции.

Раз в год пересматривайте список установленных модулей и даты их обновления: заброшенные удаляйте или меняйте. Держите резервные копии вне своего сервера и хотя бы однажды разверните их, иначе это не копии. Заведите персональные учётные записи вместо общих и включите двухфакторную аутентификацию администраторам — как настроить права. И отдельно решите, кто отвечает за обновления PHP и системы: продукт и сервер обновляются независимо друг от друга.

Если сайтом сейчас не занимается никто, начинать лучше с технического аудита. Он покажет версии, состояние решений, следы вмешательства и список работ по приоритетам. Дальше это закрывается поддержкой: обновления по расписанию, мониторинг, реакция на инциденты.

Источники

• Около 150 тыс. сайтов на 1С-Битрикс остаются уязвимыми, данные сканирования CyberOK, октябрь 2025 года.
• Банк данных угроз ФСТЭК, реестр уязвимостей, включая BDU:2023-05857.
• Раздел безопасности 1С-Битрикс, рекомендации вендора и бюллетени.

Посмотрим ваш сайт и приведём в порядок — напишите нам. Если всё хорошо, разговор будет коротким.