Главная › Блог › Обновление 1С-Битрикс: как обновить сайт и модули без поломки магазина

Обновление 1С-Битрикс: как обновить сайт и модули без поломки магазина

14 октября 2026 · 11 мин чтения

Обновление 1С-Битрикс безопасно, если делать его по порядку: сначала копия сайта и проверка восстановления, потом PHP до поддерживаемой версии, потом ядро, потом сторонние модули и шаблон, и в конце проверка бизнес-сценариев: каталог, корзина, оплата, письмо о заказе, обмен с 1С. Чаще всего после обновления ломается что-то незаметное: сайт открывается, а заказы не создаются или не уходят в учёт.

Откладывать обновления дороже, чем их ставить. С 1 февраля 2026 года минимальная версия PHP для продуктов 1С-Битрикс 8.2, и на старом PHP коробочные версии не получают обновления, в том числе исправления ошибок. Летом 2026 года в БДУ ФСТЭК появились три уязвимости популярного модуля импорта. До 11.11 меньше месяца: окно для спокойного обновления закрывается, дальше лучше заморозить изменения до конца распродаж.

Коротко

Начните с инвентаризации: версия PHP, версия ядра, список сторонних модулей с версиями и датой последнего обновления.
PHP ниже 8.2 блокирует установку обновлений продуктов 1С-Битрикс с 1 февраля 2026 года. Без перехода на 8.2 вы не закроете новые уязвимости ядра.
Ставьте обновления сначала на копию сайта, потом на рабочий сайт в тихие часы, и только после свежей резервной копии.
Сторонние модули (импорт, обмен, оплата, доставка, шаблоны) обновляют реже ядра, а уязвимости в них находят регулярно. Проверяйте их отдельно.
После обновления проведите тестовый заказ целиком: оплата, письмо, выгрузка в 1С. Доступность главной страницы ничего не доказывает.
Последнее плановое обновление перед сезоном сделайте до конца октября. С 11.11 до новогодних праздников ставьте только срочные исправления безопасности.

Почему это важно сейчас

PHP 8.2 стал обязательным. В системных требованиях 1С-Битрикс указано: PHP «не ниже 8.2.0 с 1 февраля 2026 года», рекомендуемая MySQL 8.0 и выше. В справке Битрикс24 по коробочным версиям сказано прямо: пока PHP не обновлён до 8.2, установить обновления продуктов 1С-Битрикс для исправления ошибок и нового функционала нельзя. Там же отмечено, что для PHP 8.1 больше не выпускают исправлений безопасности. Если магазин работает на PHP 8.0 или 8.1, он застрял на версии ядра, которую уже никто не исправляет.

Уязвимости находят в сторонних модулях. В БДУ ФСТЭК опубликована запись BDU:2026-08076: в модуле «Универсальный импорт» (ООО «АКРИТ») версии 1.78.0 нет аутентификации для критичной функции, атака возможна удалённо, оценка CVSS 3.1 составляет 8.6. Рядом лежат BDU:2026-08077 и BDU:2026-08078 для того же модуля. Исправление вошло в версию 1.79.0: в истории версий на Marketplace 1С-Битрикс к ней написано «Исправлены найденные уязвимости». Модуль обновили у себя не все: сторонние решения обычно не входят в рекомендуемые обновления ядра, их ставят отдельно.

Старые дыры тоже живут годами. В октябре 2025 года CyberOK сообщил, что около 150 тысяч из примерно миллиона активных установок 1С-Битрикс уязвимы к BDU:2023-05857 в модуле landing с оценкой CVSS 10.0. Исправление вышло в сентябре 2023 года в версии 23.850.0. Два года на обновление было, но его не поставили.

Не каждая новость про уязвимость требует паники. В декабре 2025 года опубликовали CVE-2025-67886 и CVE-2025-67887 в модуле переводов (Translate). Для атаки нужны права SOURCE и WRITE на этот модуль, а производитель оспаривает уязвимость: по его позиции это ожидаемое поведение для пользователей с высокими правами. Практический вывод: проверьте, у кого есть доступ к модулю переводов, и оставьте его только администраторам.

Пошаговый порядок обновления

Шаг 1. Инвентаризация (30 минут)

Соберите в одну таблицу:

версию PHP (в админке: «Настройки» → «Производительность» → вкладка PHP, или у хостинга);
версию MySQL;
версию главного модуля и дату последнего обновления ядра;
все сторонние модули и шаблон: название, разработчик, установленная версия, последняя доступная версия;
модули, которые больше не используются.

Для каждого стороннего модуля поищите его название на bdu.fstec.ru. Если по модулю есть запись, а ваша версия попадает в уязвимые, это первый кандидат на обновление.

Шаг 2. Резервная копия и проверка восстановления (1–2 часа)

Справка 1С-Битрикс советует перед обновлением создать резервную копию. Добавим одно условие: копию нужно хотя бы раз развернуть на отдельном адресе и убедиться, что сайт поднимается. Бэкап, который не восстанавливается, создаёт ложное спокойствие. Как это проверить, разобрано в статье «Как проверить восстановление сайта из бэкапа».

Шаг 3. Копия сайта для обновления

Разверните копию на поддомене или отдельном сервере с тем же окружением. Закройте её от индексации и от реальных платёжных ключей: включите тестовый режим платёжного модуля и отключите обмен с рабочей базой 1С, чтобы тестовые заказы не попали в учёт.

Шаг 4. PHP: по одной версии за раз

В курсе 1С-Битрикс по BitrixVM предлагается поэтапный порядок: исправить текущие ошибки, установить все доступные обновления, сделать резервную копию, обновлять PHP по одной версии, после каждого шага проверять работу и снова делать копию, MySQL обновлять только после успешного перехода PHP. Тот же порядок подходит и вне BitrixVM.

Новые версии PHP ломают устаревший код. Чаще всего ломаются доработки шаблона и заброшенные модули, которые разработчик не адаптировал. Ошибки ищите в журнале PHP на копии, а не на рабочем сайте.

Шаг 5. Ядро

Обновления ядра ставят в разделе «Marketplace» → «Обновление платформы». Если система предлагает сначала обновить SiteUpdate, сделайте это первым. Затем «Установить рекомендуемые обновления» или выбор конкретных пунктов на вкладке «Список обновлений». Большой разрыв в версиях закрывайте за несколько проходов и проверяйте сайт между ними.

Шаг 6. Сторонние модули и шаблон

Обновляйте по одному модулю и проверяйте сценарий, за который он отвечает. Модуль оплаты проверяйте тестовой оплатой, модуль доставки расчётом стоимости в корзине, модуль импорта запуском выгрузки на копии. Если шаблон доработан, уточните у разработчика шаблона, как обновление обходится с вашими правками: иначе обновление может их перезаписать.

Неиспользуемые модули удалите. Отключённый модуль с уязвимостью, файлы которого лежат на сервере, остаётся риском.

Шаг 7. Проверка безопасности

Запустите «Сканер безопасности»: «Настройки» → «Проактивная защита» → «Сканер безопасности». Он ищет ошибки и упущения в настройках и делает статический анализ кода (нужно расширение PHP tokenizer; в редакции «Старт» сканер недоступен). Проверьте, что проактивный фильтр включён: его часто выключают при отладке и забывают.

Шаг 8. Перенос на рабочий сайт

Выберите час с минимумом заказов по данным аналитики. Свежая резервная копия прямо перед началом, затем те же шаги, что на копии, в том же порядке. Отложите в этот день рассылки и запуск рекламы.

Шаг 9. Проверка после обновления (30 минут)

Пройдите путь покупателя, а не только главную страницу: поиск, карточка товара, корзина, оформление, оплата, письмо покупателю и менеджеру, появление заказа в 1С. Через час и на следующее утро сравните количество заказов с тем же днём прошлой недели. Подробный список проверок после релиза есть в статье «Что проверить после релиза сайта».

Кто за что отвечает

Риск	Ответственный	Как проверить	Частота
PHP ниже 8.2, обновления ядра не ставятся	Подрядчик + хостинг	Версия PHP в админке, сообщения в «Обновлении платформы»	Раз в квартал
Уязвимый сторонний модуль	Подрядчик	Версии модулей против bdu.fstec.ru и истории версий на Marketplace	Раз в месяц
Бэкап не восстанавливается	Подрядчик	Развернуть копию на отдельном адресе	Раз в квартал и перед обновлением
Обновление сломало оплату или доставку	Подрядчик + менеджер магазина	Тестовый заказ с оплатой в тестовом режиме	После каждого обновления
Заказы не уходят в 1С	Подрядчик + ответственный за 1С	Тестовый заказ появился в учётной базе	После каждого обновления
Лишние права на модуль переводов и админку	Владелец	Список пользователей с правами администратора и на модуль Translate	Раз в квартал

План обновления: шаблон для копирования

ПЛАН ОБНОВЛЕНИЯ 1С-БИТРИКС
Сайт: ____________________   Дата окна: ________  Время: ________
Ответственный: ____________  Кто на связи от магазина: ____________

0. Инвентаризация
   PHP: ____   MySQL: ____   Главный модуль: ____
   Сторонние модули (название / версия / доступная версия / есть в БДУ?):
   - ______________________________
   - ______________________________
   Модули на удаление: ______________

1. Подготовка
   [ ] Резервная копия файлов и базы, где лежит: ______
   [ ] Копия развёрнута на отдельном адресе и открывается
   [ ] На копии: тестовый режим оплаты, обмен с рабочей 1С отключён

2. На копии
   [ ] PHP обновлён до ____ (по одной версии, журнал ошибок чистый)
   [ ] SiteUpdate обновлён
   [ ] Ядро обновлено до ____
   [ ] Модули обновлены по одному: ______________
   [ ] Сканер безопасности запущен, проактивный фильтр включён
   [ ] Тестовый заказ: корзина / оплата / письма / выгрузка в 1С

3. На рабочем сайте
   [ ] Рассылки и запуск рекламы на это время отложены
   [ ] Свежая резервная копия перед началом
   [ ] Шаги из п. 2 повторены в том же порядке
   [ ] Тестовый заказ прошёл, тестовая оплата отменена или возвращена

4. После
   [ ] Через 1 час: заказы есть, ошибок в журнале нет
   [ ] Утром следующего дня: заказов не меньше, чем в тот же день неделю назад
   [ ] Дата следующей проверки модулей: ________
   План отката (кто и как восстанавливает копию): ______________

Пример разбора

Ситуация условная, собрана для иллюстрации.

Магазин стройматериалов на 1С-Битрикс работает на PHP 8.1. Подрядчик в начале октября видит, что в «Обновлении платформы» обновления не ставятся, и предлагает переход на PHP 8.2. На копии сайта после смены PHP падает расчёт доставки: модуль службы доставки не обновлялся три года, а разработчик его больше не поддерживает. Ядро и остальные модули работают.

Если бы PHP обновили сразу на рабочем сайте, корзина показывала бы ошибку на шаге доставки, а главная страница и каталог продолжали бы открываться. Проверка доступности этого не увидела бы. На копии проблему нашли за день. Магазин заменил модуль доставки на поддерживаемый, перенёс обновление на рабочий сайт в воскресенье утром и после тестового заказа сравнил число заказов за понедельник с прошлой неделей. До 11.11 осталось три недели запаса, и с этого момента изменения на сайте заморозили.

Частые ошибки

Обновить всё за один проход на рабочем сайте. Если что-то сломалось, непонятно, что именно: PHP, ядро или один из модулей.
Считать, что «рекомендуемые обновления» закрывают всё. Сторонние модули и шаблон обновляются отдельно, и уязвимости в 2026 году нашли как раз в них.
Проверить только главную страницу. Поломки после обновления чаще всего сидят в корзине, оплате, доставке и обмене с 1С.
Тестировать копию с рабочими ключами оплаты и рабочей базой 1С. Тестовые заказы попадают в учёт, а тестовые списания к реальным покупателям.
Обновляться в разгар распродажи. Любая ошибка обходится дороже в дни пиковой нагрузки, а времени на спокойный откат нет.
Не удалить неиспользуемые модули. Выключенный модуль с уязвимостью остаётся на сервере.

Честные ограничения. Этот порядок снижает риск, но не гарантирует отсутствие сбоев: часть ошибок проявляется только под реальной нагрузкой или на редких сценариях, например при оплате определённым способом. Обновление не заменяет разбора взлома, если сайт уже скомпрометирован. Сроки поддержки PHP и требования 1С-Битрикс приведены на октябрь 2026 года и могут измениться, сверяйтесь с документацией.

Вопросы и ответы

Можно ли не обновлять Битрикс, если сайт работает?

Можно какое-то время, но это накопленный риск. На PHP ниже 8.2 обновления продуктов 1С-Битрикс не устанавливаются, а уязвимости в модулях продолжают находить. Чем больше разрыв в версиях, тем дороже и рискованнее обновление потом.

Как часто обновлять 1С-Битрикс?

Сверяйте сторонние модули с базой уязвимостей раз в месяц и ставьте исправления безопасности по мере выхода. Плановые обновления ядра собирайте в окна раз в один–три месяца, всегда с копией и тестовым заказом. Перед сезоном распродаж сделайте последнее окно за 2–3 недели до пика.

Что делать, если после обновления сломался сайт?

Сначала откатитесь на резервную копию, сделанную прямо перед обновлением, но выгрузите заказы, оформленные после неё. Потом разбирайтесь с причиной на копии сайта. Если признаки похожи на взлом, а не на ошибку обновления, нужен отдельный план расследования.

Как заметить тихую поломку после обновления

Шаг 9 из плана выше работает, только если кто-то проверяет сайт и наутро, и через неделю. Pingvera проверяет сайт снаружи раз в минуту из разных регионов, а коннектор для 1С-Битрикс добавляет проверки изнутри. Деплои и инциденты ложатся на единый таймлайн, поэтому видно, совпало ли падение с обновлением. Подробнее о проверках изнутри в статье «Мониторинг Битрикс изнутри». Бесплатный тариф покрывает до 5 сайтов.

Источники

Проверено: 14 октября 2026 года

Узнавайте о проблеме раньше клиента

Pingvera следит за сайтами клиентов «снаружи и изнутри» — доступность из регионов, формы, оплата, домен, SSL, сервер — и предупреждает в Telegram, email и Max раньше, чем напишет клиент.

Попробовать Pingvera бесплатно

← Все статьи · Политика конфиденциальности · pingvera.ru · Telegram-канал