Как защитить сайт на Битрикс от взлома в 2026?

Семь шагов: продлить лицензию, обновить ядро и все модули (особенно Aspro), включить «Проактивную защиту» на уровне «Высокий», настроить 2FA для всех админов, ограничить /bitrix/admin/ по IP, поставить WAF (Cloudflare, Qrator, Curator), настроить ежедневные бэкапы во внешнее хранилище. Каждый пункт реализуется за 30 минут до 2 часов.

Что такое CVE-2022-27228 и опасна ли она в 2026?

CVE-2022-27228 — критическая уязвимость в модуле «Голосования» 1С-Битрикс, позволяющая удалённое выполнение кода без авторизации. Через неё прошла массовая волна взломов в феврале 2025. Если ядро обновлено до актуальной версии (24.0.0+), уязвимость закрыта. На сайтах с устаревшим ядром остаётся опасной.

Нужен ли WAF, если уже включена «Проактивная защита»?

Да. «Проактивная защита» работает на уровне приложения: запрос уже дошёл до PHP. WAF фильтрует трафик до сервера, защищает от DDoS, ботов, эксплойтов нулевого дня. Это два разных слоя обороны, они дополняют друг друга. Минимум: бесплатный Cloudflare для блокировки массовых атак.

Что делать, если сайт на Битрикс уже взломан?

Закрыть сайт техстраницей, не удалять следы (нужны для анализа), сменить все пароли (админ, FTP, SSH, БД), запустить «Сканер безопасности» Битрикса и AI-Bolit или Manul, найти точку входа в логах, закрыть её обновлением или патчем, восстановить чистый бэкап, уведомить пользователей по 152-ФЗ. На лечение в среднем уходит 1–3 дня.

Защищают ли шаблоны Aspro от взлома?

Aspro по умолчанию не повышает безопасность сайта — это шаблон, а не модуль защиты. Более того, кастомные компоненты Aspro исторически содержали уязвимости (последние патчи — 2025 год). Чтобы Aspro был безопасен, нужно держать активную лицензию шаблона и оперативно ставить обновления. Все правки переносить в /local/, чтобы не потерять при апдейте.

Можно ли защитить Битрикс без активной лицензии?

Базовые меры (2FA, ограничение по IP, WAF, бэкапы, сложные пароли) работают и без лицензии. Но без неё нет обновлений безопасности — публичные уязвимости остаются открытыми. Это вопрос времени до взлома. В 2026 году эксплуатация известных CVE происходит за дни, иногда — часы после публикации.

Защита сайта на Битриксе от взлома в 2026: чек-лист после волны атак

Прямой ответ: чтобы защитить сайт на 1С-Битрикс от взлома в 2026 году, нужно сделать семь вещей — установить «Проактивную защиту» на уровне «Высокий», включить 2FA для всех админов, ограничить доступ к /bitrix/admin/ по IP, обновить ядро и все модули (включая Aspro), поставить WAF перед сайтом, наладить ежедневные бэкапы вне сервера и настроить мониторинг изменений файлов. Ниже — подробный чек-лист с приоритетами и реальными настройками.

Почему сайты на Битриксе массово ломают в 2026

За последние 18 месяцев в Рунете прошли три крупные волны взломов сайтов на 1С-Битрикс. Самая массовая — в феврале 2025, когда через известную уязвимость CVE-2022-27228 в модуле vote были взломаны тысячи сайтов одновременно. Параллельно атакам подверглись шаблоны Aspro: злоумышленники использовали SSRF и SQL-инъекции в кастомных компонентах.

Главные причины успеха атак — одинаковы из года в год: непродлённая лицензия (а значит, нет обновлений безопасности), устаревший Aspro, открытая на весь интернет админка, простые пароли, отсутствие 2FA. По нашей статистике (мы лечили 30+ заражённых сайтов в 2025), в 90% случаев взлом происходил на сайтах, где не обновлялось ядро более 6 месяцев.

Базовый чек-лист защиты на 2026 год

Если у вас сейчас 30 минут — сделайте сразу эти семь пунктов. Этого достаточно, чтобы перестать быть лёгкой целью для массовых сканеров.

Продлить лицензию Битрикс. Без неё нет обновлений безопасности — а значит, любая публично известная уязвимость остаётся открытой.
Обновить ядро и все модули через Marketplace → Установленные решения. Особое внимание — Aspro (Max, Next, Allcorp3, Lite): за 2025 год вышло 4 критичных патча.
Включить «Проактивную защиту» на уровне «Высокий» в разделе Настройки → Проактивная защита.
Настроить 2FA для всех аккаунтов с правами администратора через мобильное приложение Битрикс или TOTP.
Ограничить /bitrix/admin/ по IP через .htaccess или директиву NGINX.
Поставить WAF — Cloudflare, Curator, Qrator или встроенный WAF Yandex Cloud.
Включить резервное копирование с хранением вне сервера (S3, Yandex Object Storage, Selectel).

Проактивная защита: что включать, а что ломает функционал

Модуль «Проактивная защита» поставляется со всеми редакциями Битрикс начиная с «Стандарт». В 2026 году он остаётся главной линией обороны на уровне приложения. Уровней три: «Стандартный», «Высокий», «Параноидальный».

Что включать на уровне «Высокий»:

Защита административных разделов — блокирует подбор паролей и сессии без привязки к IP.
Журнал вторжений — фиксирует подозрительные запросы (SQL-инъекции, XSS-попытки, обращения к eval).
Контроль активности — ограничивает число запросов с одного IP за минуту. Полезно против сканеров и ботов.
Защита редиректов — закрывает «открытые редиректы», которые используются для фишинга.
Стоп-лист — автоматическая блокировка IP, попавших в журнал вторжений 3+ раз.
Хранение сессий в БД — защищает от воровства файла сессии при компрометации хостинга.

Что ломает функционал и требует тестирования: «Параноидальный режим» — разлогинивает пользователей при смене IP. На мобильном интернете это создаёт ад в личных кабинетах. Включаем только для админки, не для клиентского раздела.

Двухфакторная аутентификация: как настроить

В 2026 году одного пароля недостаточно. Утечки баз пользователей с других ресурсов и атаки credential stuffing — одна из самых частых причин взлома. 2FA включается за 5 минут и в разы повышает планку защиты.

Зайти в Настройки → Пользователи → Двухфакторная аутентификация.
Включить обязательное 2FA для группы «Администраторы» и «Контент-редакторы».
Поддерживаемые методы: TOTP (Google Authenticator, Yandex Key, Authy), мобильное приложение Битрикс24, СМС.
Запретить вход в админку без 2FA через настройку «Принудительное использование».

Ограничение доступа к /bitrix/admin/ по IP

Самый простой и эффективный способ закрыть админку от 99% атак — разрешить вход только с офисных IP или VPN. Добавьте в .htaccess в корне сайта:

<FilesMatch "(bitrix/admin|bitrix/tools)">
    Order Deny,Allow
    Deny from all
    Allow from 1.2.3.4
    Allow from 5.6.7.8
</FilesMatch>

Если используется NGINX без Apache, аналогичная конструкция в конфиге сервера:

location ~ ^/bitrix/(admin|tools) {
    allow 1.2.3.4;
    allow 5.6.7.8;
    deny all;
}

Если у вас динамический IP — подключите корпоративный VPN (WireGuard, OpenVPN) и разрешите доступ только с его адреса.

Отдельная история: уязвимости Aspro

Шаблоны Aspro — самые популярные коммерческие решения для Битрикса в Рунете. И именно они чаще всего становятся точкой входа: их компоненты работают с пользовательскими данными напрямую, а разработчики не всегда успевают закрывать дыры так же быстро, как ядро Битрикса.

Что делать владельцам сайтов на Aspro:

Подписаться на канал обновлений Aspro в Marketplace и проверять выход патчей минимум раз в 2 недели.
Держать активную лицензию шаблона — без неё обновления безопасности недоступны.
Проверить, нет ли в шаблоне «правок руками» в файлах /bitrix/templates/aspro_*/ — такие правки слетают при обновлении и часто содержат старый уязвимый код.
Все кастомные правки выносить в /local/ — это стандартная практика, которая позволяет обновлять Aspro без потери модификаций.

WAF и защита от DDoS

WAF (Web Application Firewall) — это слой между интернетом и сайтом, который фильтрует подозрительные запросы до того, как они дойдут до Битрикса. Базовые опции в 2026 году:

Cloudflare — тарифы от $0 до $20/мес, защита от DDoS, базовый WAF, кэш статики.
Qrator Labs — российский провайдер, специализируется на защите от DDoS, есть WAF-модуль.
Curator — защита от ботов и DDoS, популярен у крупного e-commerce в РФ.
Yandex Cloud WAF — встроен в Yandex Application Load Balancer, удобен, если хостите в Yandex Cloud.

Минимальный конфиг — блокировка по геозоне (если вы работаете только по РФ — блокируете весь зарубежный трафик), rate limit на 100 запросов в минуту с одного IP, блокировка известных бот-сетей.

Бэкапы, которые реально спасут

Бэкап, лежащий на том же сервере, что и сайт, — это не бэкап. При взломе вместе с сайтом шифруют или удаляют и его. Правильная схема:

Ежедневный полный бэкап файлов и БД средствами Битрикса (раздел Настройки → Резервное копирование).
Автоматическая выгрузка в внешнее хранилище: S3, Yandex Object Storage, Selectel, Backblaze B2.
Хранение минимум 14 копий: 7 ежедневных + 4 еженедельных + 3 ежемесячных.
Раз в квартал — тестовое восстановление на dev-сервере. Бэкап, который никогда не разворачивали, в 30% случаев оказывается битым.

Что делать, если сайт уже взломан

Если вы заподозрили взлом (антивирус браузера ругается, в поисковой выдаче появились страницы с китайскими иероглифами, в /bitrix/.settings.php чужой код) — краткий план:

Закрыть сайт от посетителей через техническую страницу (но оставить себе доступ).
Не удалять файлы — сначала снять копию для анализа, потом восстановить чистый бэкап.
Поменять все пароли: админок Битрикса, FTP, SSH, БД, почтовых ящиков, привязанных к сайту.
Запустить «Сканер безопасности» в Битриксе и проверить файлы через AI-Bolit или Manul.
Найти точку входа: проверить логи NGINX/Apache за месяц до взлома, искать аномалии — массовые POST-запросы, обращения к upload, попытки SQL-инъекций.
Закрыть точку входа: обновить уязвимый модуль, поставить заплатку, ограничить функционал.
Проинформировать пользователей о возможной утечке — требование 152-ФЗ.

Бесплатный аудит безопасности от Inter Web

Мы — золотой партнёр 1С-Битрикс с 11-летним опытом. Регулярно лечим заражённые сайты и проводим аудит безопасности. Если есть подозрение на компрометацию — напишите, проведём бесплатный экспресс-аудит за 3 дня: проверим версии, конфиги, журналы, наличие подозрительных файлов и пришлём отчёт с рекомендациями.