Волна взломов сайтов на Битрикс 2025:
уязвимость ASPRO и как ее исправить

Суть проблемы и анализ ситуации

Анализ обращений и комментариев пользователей показывает, что основной вектор атаки связан с уязвимостью в компонентах решений АСПРО (преимущественно интернет-магазины: Max, Next, LiteShop и др.). Проблема кроется в небезопасной обработке данных функцией unserialize(), что позволяет злоумышленникам выполнять произвольный PHP-код на сервере.

Многие пользователи не могут оперативно обновить решения АСПРО из-за истекшей лицензии или других ограничений, что делает их сайты уязвимыми. Важно понимать, что вирус может распространяться по серверу: если на одном аккаунте хостинга (например, /home/bitrix/www/ или /home/bitrix/ext_www/) размещено несколько сайтов, заражение одного может привести к компрометации всех остальных, даже если они не используют Битрикс или АСПРО.

Хронология атак на Битрикс

Как проявляется взлом (Симптомы)

• Сайт частично или полностью перестает работать: не открываются разделы каталога, блога, новостей и т.д.
• Недоступна административная панель Битрикса (/bitrix/), отображается ошибка "403 Forbidden: You don't have permission to access /bitrix/ on this server".
• На сервере появляются посторонние файлы и папки (упоминалась папка 75555 в корне).
• Вирус активно создает или изменяет файлы .htaccess в различных директориях сайта (включая /, /bitrix/, /bitrix/admin/), блокируя доступ к разделам и админке.
• Вредоносный код может внедряться в легитимные файлы сайта, часто в начало index.php.
• Заражение может происходить повторно даже после частичной очистки, если не устранены все бэкдоры и запущенные вредоносные процессы.

Комплексное решение проблемы

Просто закрыть уязвимость (обновить или пропатчить файлы) недостаточно, если сайт уже был скомпрометирован. Необходим комплексный подход:

$arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
$arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"])) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER'])) : array()));
$arComponentParams = unserialize(urldecode($arIncludeParams));

if ($_POST["AJAX_PARAMS"] && !is_array(unserialize(urldecode($_POST["AJAX_PARAMS"]), ["allowed_classes" => false]))) {
	header('HTTP/1.1 403 Forbidden');
	$APPLICATION->SetTitle('Error 403: Forbidden');
	echo 'Error 403: Forbidden_1';
	require_once($_SERVER['DOCUMENT_ROOT'] . '/bitrix/modules/main/include/epilog_after.php');
	die();
}
$arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
$arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"]), ["allowed_classes" => false]) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER']), ["allowed_classes" => false]) : array()));
$arComponentParams = unserialize(urldecode($arIncludeParams), ["allowed_classes" => false]);

$arParams = unserialize(urldecode($_REQUEST["PARAMS"]));

if (!is_array(unserialize(urldecode($_REQUEST["PARAMS"]), ["allowed_classes" => false]))) {
	header('HTTP/1.1 403 Forbidden');
	$APPLICATION->SetTitle('Error 403: Forbidden');
	echo 'Error 403: Forbidden';
	require_once($_SERVER['DOCUMENT_ROOT'] . '/bitrix/modules/main/include/epilog_after.php');
	die();
}
$arParams = unserialize(urldecode($_REQUEST["PARAMS"]), ["allowed_classes" => false]);

Профилактика и защита

Технические детали уязвимости

$data = unserialize($input);

$data = unserialize($input, ["allowed_classes" => false]);

Официальная позиция 1С-Битрикс

По текущей волне атак компания 1С-Битрикс выпустила официальные рекомендации по безопасности, в которых подчеркивается важность своевременного обновления как платформы, так и сторонних решений.

Основные рекомендации от разработчиков включают:

• Регулярное обновление Битрикс до последней версии
• Обязательное обновление решений партнеров (АСПРО и др.)
• Использование проактивной защиты и WAF
• Регулярное резервное копирование
• Проверку сайта сканером безопасности

Часто задаваемые вопросы