Около 150 тыс. сайтов на 1C-Bitrix остаются уязвимыми к атаке

Около 150 тыс. сайтов на 1C-Bitrix остаются уязвимыми к атаке

Около 150 тыс. сайтов на 1C-Bitrix остаются уязвимыми к атаке

Очередное сканирование рунета, проведенное CyberOK, выявило около 1 млн активных экземпляров 1C-Bitrix. Примерно 150 тыс. из них выказывают признаки наличия критической уязвимости, пропатченной вендором два года назад.

Речь идет о проблеме BDU:2023-05857, степень опасности которой была оценена в 10 баллов из 10 возможных по шкале CVSS. Уязвимость, привязанная к модулю Конструктора сайтов (landing), представляет собой состояние гонки, которое может возникнуть при работе с общими ресурсами.

Эксплойт проводится без взаимодействия с конечным пользователем, но может потребовать авторизации. Успешная атака позволит выполнять любые системные команды, захватить контроль над узлом 1C-Bitrix и даже проникнуть во внутреннюю сеть.

Уязвимости подвержены все версии landing до 23.800.0 включительно. Патч вышел в сентябре 2023 года в составе сборки 23.850.0; как оказалось, далеко не все удосужились его применить.

В «СайберОК» провели дополнительное исследование и выяснили, что после отключения или удаления landing на хосте могут остаться файлы, способные вызвать ложное срабатывание статического сканера:

  • /bitrix/components/bitrix/landing.site_edit/templates/.default/landing-forms.js
  • /components/bitrix/landing.site_edit/templates/.default/landing-forms.js
  • /bx/components/bitrix/landing.site_edit/templates/.default/landing-forms.js

На самом деле наличие таких следов необязательно означает, что landing уязвим либо активен. Верным признаком потенциальной уязвимости, по словам экспертов, является файл /bitrix/tools/landing/ajax.php и характерные запросы к нему.

Во избежание неприятностей «СайберОК» советует безотлагательно обновить модуль landing до версии 23.850.0 или выше. При отсутствии такой возможности следует принять меры для смягчения угрозы:

  • временно отключить landing и ограничить доступ к административным конечным точкам;
  • ограничить внешний доступ к /bitrix/admin/* и другим административным маршрутам;
  • поискать в логах следы параллельных запросов, необычных цепочек вызовов, неожиданных вызовов системных команд.

ИИ проредил HR-отделы: на одну вакансию претендуют до 19 человек

Российский рынок труда для HR-специалистов за последнее время стал неоправданно сложным. С начала 2026 года соискатели разместили более 520 тыс. резюме, тогда как работодатели опубликовали лишь 66 тыс. предложений. По данным hh.ru, на отдельные позиции приходится до 19 анкет.

В июне доля вакансий для кадровиков упала на 34% год к году, а количество резюме выросло на 17%. По оценкам участников рынка, за последние полтора года работу потерял примерно каждый третий сотрудник кадровой сферы.

Но сваливать всё на нейросети было бы слишком удобно. Компании заодно сокращают управленческие подразделения на фоне охлаждения деловой активности.

ИИ лишь подливает масла: цифровые инструменты уже используют более трети работодателей, а объём рекрутерской рутины благодаря им может сокращаться до 80%.

Алгоритмы анализируют резюме, проводят первичные интервью и выдают структурированные результаты. Наём ускоряется примерно вдвое, поэтому бизнес закономерно спрашивает: зачем держать целый отдел?

Полностью списывать кадровиков пока рано. ИИ способен отсеять сильного кандидата или выбрать идеальное резюме, за которым ничего нет.

В цене останутся специалисты, умеющие работать с нейросетями, данными и живыми людьми. А вот массовый скрининг и шаблонные звонки кандидатам машина уже забирает себе.

RSS: Новости на портале Anti-Malware.ru