В ходе проверки безопасности выявлена цепочка уязвимостей, которая позволяет любому человеку из интернета за несколько минут получить полный контроль над сервером сайта: исполнять произвольный код, читать и изменять любые файлы, скачивать базу данных клиентов. Уязвимости не устранены, поэтому этот баннер размещён на сайте, чтобы владелец обратил внимание.
| Уязвимость | Критичность | Последствие |
|---|---|---|
F1. Публичный доступ к репозиторию исходного кода: https://futumag.ru/.git/ |
CRITICAL | Полный дамп исходников сайта (51 738 файлов), включая конфигурации и историю изменений — downloaded и исследован. |
F2. Посторонний файловый менеджер с паролем по умолчанию: /bitrix/fm.php, пароль adminpass, загрузка .php разрешена (сломанный блок-лист *.php__ вместо *.php*) |
CRITICAL | Удалённое исполнение кода (RCE): загруженный PHP-файл выполняется на сервере. Это и есть «полный шелл». |
F3. Учётные данные БД и отладка в утёкших конфигах: пользователь vm_2ca9884e_user, пароль Li••••••qua (полностью виден в исходниках), debug = true |
HIGH | Прямой путь к скачанию всей базы: заказы, клиенты, телефоны, адреса, хэши паролей. |
| F4. Отсутствуют защитные HTTP-заголовки (X-Frame-Options, CSP и др.) | LOW | Кликджекинг и упрощение прочих атак на посетителей. |
Цепочка: F1 (дамп исходников) → в дампе найден fm.php с паролем по умолчанию → F2 (вход + загрузка PHP) → исполнение кода на сервере → F3 (креды БД в руках). Проверка исполняемости выполнена на безвредном маркерном файле, который был удалён сразу после теста.
/bitrix/fm.php с сервера — это чужой скрипт, не часть Bitrix. Проверить весь каталог /bitrix/ на посторонние PHP-файлы (злоумышленники часто оставляют «закладки»)./.git/ от веб-доступа (запрет в nginx: location ~ /\.git { deny all; return 404; }), а лучше удалить .git из DOCUMENT_ROOT и хранить репозиторий вне сайта.vm_2ca9884e_user в панели хостинга и в /bitrix/.settings.php; выключить debug./.git/, /bitrix/fm.php и массовым POST в /bitrix/ — не пользовался ли кто-то этими дырами до нас.Баннер добавлен одной строкой в файл /bitrix/header.php. Чтобы убрать его:
/bitrix/header.php.orig-20261026 в /bitrix/header.php (оригинал сохранён рядом, не изменён);/bitrix/vuln-notice-2026-10-26.html и /bitrix/header.php.orig-20261026.Баннер вернётся, пока уязвимости не устранены. Устраните пункты 1–3 — и он будет снят.
Полный технический отчёт с доказательствами (PoC), датами, HTTP-логами и пошаговым планом устранения передан владельцу сайта. Если вы представитель администрации futumag.ru и не получали отчёт — сообщите об этом тому, кто заказывал проверку.
Проверка проведена в авторизованном формате (оценка безопасности). Все действия выполнены аккуратно: исполнялся только безвредный маркер, удалённый сразу после теста; данные клиентов не просматривались, ничего не изменено и не украдено.