Нещодавно було зафіксовано випадки масового злому сайтів на Бітрікс: Управління сайтом і Бітрікс24. У повідомленнях, що з’явилися 28 червня 2022 року, йшлося про злом десятків сайтів, але точна кількість поки невідома. Варто зазначити, що 1С-Бітрікс уже виправив усі відомі вразливості ще в травні цього року й розсилав інформаційні листи на цю тему. Відповідно, зломи можливі лише на сайтах, які працюють на застарілих версіях CMS.
Як оновити 1С-Бітрікс
1С-Бітрікс офіційно заявив про відсутність вразливостей в актуальній версії CMS. Тим, хто самостійно підтримує свій сайт на 1С-Бітрікс, наполегливо рекомендується його оновити. Для цього необхідно мати активну ліцензію, а також виконати такі дії:
- Створити резервну копію сайту й переконатися, що вона є.
- Якщо можливо, розгорнути резервну копію на тестовому сервері та виконати оновлення там.
- Якщо у вас немає проблем з оновленням і ви не вносили змін у ядро, а також увесь код підтримує PHP 7.4, то оновлювати можна безпосередньо.
- Якщо необхідно оновити PHP і MySQL до актуальних версій, попередньо слід створити резервну копію на рівні сервера/хостингу.
- Після оновлення необхідно перевірити працездатність усіх розділів сайту.
Додаткові способи захисту
Крім зазначених рекомендацій, існує ще кілька способів убезпечити сайт:
- Встановіть SSL-сертифікат для захисту передавання даних між сервером і браузером користувачів. SSL-сертифікат дає змогу зашифрувати дані, що передаються через інтернет, і забезпечити безпеку вебтрафіку.
- Оновлюйте CMS і розширення, встановлені на сайті, до останніх версій. Нові версії можуть містити виправлення вразливостей безпеки, що дасть змогу захистити сайт від потенційних атак.
- Обмежте доступ до адміністративної частини сайту колом користувачів, яким він справді потрібен. Не давайте доступ до адміністративної частини сайту всім користувачам, особливо якщо вони не займаються керуванням сайтом.
- Використовуйте складні та унікальні паролі для всіх акаунтів на сайті, зокрема для бази даних і FTP-акаунтів.
- Обмежте доступ до файлів і папок сайту, якщо це необхідно. Наприклад, якщо ви використовуєте CMS, то потрібно обмежити доступ до папки з конфігураційними файлами.
- Налаштуйте систему моніторингу, яка дасть змогу відстежувати зміни на сайті та швидко реагувати на загрози безпеці.
- Навчіть своїх працівників основ безпеки та створіть політику безпеки для вашого сайту. Це допоможе мінімізувати ризики й захистити сайт від внутрішніх загроз безпеці.
Перевірка сайту на вразливості й трояни
Радимо просканувати ваш сайт на наявність вразливостей. Для цього потрібно зайти в Налаштування – Проактивний захист – Сканер безпеки й запустити сканування. Після сканування можна побачити, яких тестів сайт не пройшов, і виконати рекомендації. Рекомендації також доступні в розділі Налаштування – Проактивний захист – Панель безпеки.
Для додаткового захисту рекомендуємо встановити модуль “Пошук троянів” з Маркетплейсу. Після встановлення модуль можна знайти в розділі Налаштування – bitrix.xscan – Пошук троянів. Проскануйте сайт і усуньте недоліки.
Якщо ви виявили підозрілі зміни на сайті, спробуйте знайти файли, які було змінено нещодавно. Якщо є доступ до консолі, можна скористатися командою для перевірки кожного файлу вручну. Перевірте агенти на наявність підозрілих записів. Це можна зробити в розділі Налаштування – Налаштування продукту – Агенти.
Якщо сайт уже зламано
Якщо ваш сайт уже було зламано й у вас немає доступу до адмінки, спочатку спробуйте авторизуватися як адміністратор без пароля. Якщо це не допомагає, відновити зламаний сайт буде складно, тому рекомендую розгорнути сайт з останньої резервної копії та виконати всі рекомендації вище. Якщо у вас немає резервних копій, спробуйте запросити їх у хостинг-провайдера. Якщо резервних копій немає, то, найімовірніше, доведеться відновлювати сайт вручну, але перед цим обов’язково убезпечте його, щоб зберегти результати вашої роботи. Не забудьте відновити файл /bitrix/.settings.php (і /bitrix/php_interface/dbconn.php, якщо його теж видалено або змінено), змінену головну сторінку та видалені інфоблоки.
Якщо оновити Бітрікс не вдається
Якщо не вдається оновити Бітрікс, то є кілька способів захисту від злому через вразливості, як-от модуль vote. Перший спосіб – вставити код у певні файли, другий – обмежити на рівні nginx. Якщо виникають проблеми із захистом, оновленням або відновленням сайту, можна звернутися по допомогу.