---
title: "Устранение уязвимостей в модулях Битрикс"
---

> Полный индекс документации для ИИ-агентов: [llms.txt](https://timeweb.cloud/llms.txt).

В мае 2025 года несколько сайтов наших клиентов, использующих CMS «1С-Битрикс», были взломаны и заражены вредоносным кодом.

Взлом произошел из-за уязвимостей в устаревших версиях модулей Битрикс:

-   Импорт из Excel (2.5.1 - 2.8.9)
-   Экспорт в Excel (0.8.6 - 1.2.2)
-   Экспорт/Импорт товаров в Excel (2.5.1 - 2.8.9)
-   Импорт из XML и YML (0.6.8 - 1.1.6)
-   Массовая обработка элементов инфоблока (0.5.9 - 0.7.7)
-   Многофункциональный экспорт/импорт в Excel (0.2.2 - 0.4.8)

## Устранение уязвимостей

Если вы используете какие-то из этих модулей, рекомендуем **как можно скорее обновить саму CMS и модули** до последних стабильных версий. В новых версиях уязвимости уже закрыты, и злоумышленники не смогут ими воспользоваться.

Если у вас нет возможности установить обновления, закройте уязвимости при помощи патча. Для автоматического исправления перейдите в «Настройки» → «Инструменты» → «Командная PHP-строка» и вставьте следующий код:

Развернуть

```shell
$arFiles = array(
	'/bitrix/modules/esol.allimportexport/admin/cron_settings.php',
	'/bitrix/modules/esol.importexportexcel/admin/iblock_export_excel_cron_settings.php',
	'/bitrix/modules/esol.importexportexcel/admin/iblock_import_excel_cron_settings.php',
	'/bitrix/modules/esol.importxml/admin/import_xml_cron_settings.php',
	'/bitrix/modules/esol.massedit/admin/profile.php',
	'/bitrix/modules/kda.exportexcel/admin/iblock_export_excel_cron_settings.php',
	'/bitrix/modules/kda.importexcel/admin/iblock_import_excel_cron_settings.php',
);
$cnt = 0;
foreach($arFiles as $fn)
{
	$fn = $_SERVER['DOCUMENT_ROOT'].$fn;
	if(file_exists($fn))
	{
    	chmod($fn, 0775);
    	$c = file_get_contents($fn);
    	while(preg_match('#<\?.*//.*403 Forbidden.*\?>\s*<\?#Uis', $c, $m))
    	{
        	$c = str_replace($m[0], '<?', $c);
    	}
    	$c = preg_replace('/^.*<\?/Us', '<?', $c);
    	if(stripos($c, '403 Forbidden')===false || preg_match('/[^\/@]@?exec\(\$phpPath.\' \-v\'.*prolog_admin_before\.php/is', $c))
    	{
        	file_put_contents($fn, "<?if(isset(\$_REQUEST['path']) && strlen(\$_REQUEST['path']) > 0)
{
	header((stristr(php_sapi_name(), 'cgi') !== false ? 'Status: ' : \$_SERVER['SERVER_PROTOCOL'].' ').'403 Forbidden');
	die();
}
?>".preg_replace('/@exec\(\$phpPath.\' \-v\'/', '//$0', $c));
        	$cnt++;
    	}
	}
}
unlink(__FILE__);

echo 'patched:'.$cnt.'.';
```

Нажмите «Выполнить».

## Если взлом уже произошел

Факт заражения может проявляться по-разному:

-   подмена контента на сайте или данных администратора;
-   запуск сторонних процессов на сервере,
-   подмена Cron-задач,
-   рассылка спама и др.

Если ваш сайт уже взломан, самый надежный способ устранить проблему — **восстановить сайт из резервной копии** на момент, когда заражения еще не было. 

После восстановления обязательно обновите CMS и все модули до последних версий.

Если у вас нет необходимых резервных копий и восстановление невозможно, для устранения последствий взлома выполните следующее:

1.  **Просканируйте сайт на наличие вредоносных файлов и удалите их**
    

Для этого можно воспользоваться внутренними инструментами Битрикса: «Рабочий стол» → «Настройки» → «Проактивная защита» → «Поиск троянов» → «Сканирование файлов». 

Если сканер обнаружит зараженные файлы, удалите их.

2.  **Проверьте файлы .htaccess**
    

Здесь тоже помогут инструменты Битрикса: «Рабочий стол» → «Настройки» → «Проактивная защита» → «Поиск троянов» → «Проверка .htaccess». 

Кликните на «Удалить всё и установить минимальный набор», чтобы удалить зараженные файлы и вернуть всё к стандартным настройкам.

3.  **Проверьте задачи Crontab** 
    

[Подключитесь к серверу по SSH](https://timeweb.cloud/docs/unix-guides/ssh) и выполните команду:

```shell
crontab -l
```

Она выведет список всех задач Cron. Если обнаружены подозрительные задачи — удалите их.

4.  **Проверьте процессы на сервере**
    

В первую очередь перезагрузите сервер. Обычно вредоносные процессы не запускаются заново после перезагрузки.

После [подключитесь к серверу по SSH](https://timeweb.cloud/docs/unix-guides/ssh) и проверьте список процессов командой `htop`, `top` или `ps aux`.

Если есть подозрительные процессы — завершите их с помощью:

```shell
kill [PID]
```

PID каждого процесса будет указан в выводе команд `htop`, `top` или `ps aux`.

5.  **Проверьте учетные данные администратора**
    

В админке Битрикса перейдите в «Настройки» → «Пользователи» → «Список пользователей» и убедитесь, что все данные, включая email, корректные.