Обновления 1С-Битрикс: что меняется в каждой версии

landing · Сайты 24 26.1100.0 Безопасность

Landing 26.1100.0: закрыта цепочка уязвимостей, заодно ужесточены repo.register, savePicture и проверка ссылок предпросмотра

`landing` 26.1100.0 (сборка от 06.08.2026) почти целиком про безопасность. Закрыты исполнение кода через манифест repo-блока и импорт архива сайта, инъекция в `eval()` через CODE страницы, SSRF через обработчик виджета, XSS в выводе ассетов, предсказуемый в облаке md5-хеш предпросмотра. В комментари…

25.09.2026 14 мин Устаревших API: 4

imconnector 26.200.200 Заметное

Imconnector 26.200.200: закрытие сессии открытой линии больше не обгоняет открытие

В imconnector 26.200.200 закрытие сессии открытой линии больше не доходит до imbot раньше повторного открытия, поставленного перед ним в том же запросе, а коннектор MAX стал доступен порталам с регионами `az`, `am` и `md`. В коробочный Битрикс24 версия вышла 2 сентября 2026 года, так указано в офици…

25.09.2026 3 мин

im · Веб-мессенджер 26.900.0 Ломающее

im 26.900.0 + socialnetwork 26.150.0: инициатор в событиях внешних чатов и установщик на миграциях

В im 26.900.0 папки чатов научились работать с dialogId, мобильная синхронизация узнаёт об уволенных сотрудниках, у чата появился бэкенд навигации по датам, а установщик модуля переехал с SQL-файлов на `UpdateSystem\Migration`. Ломаются конструкторы десяти событий внешних чатов, несколько флагов в `…

25.09.2026 1 мин Устаревших API: 12

iblock · Информационные блоки 26.0.100 Безопасность

Iblock 26.0.100: ORM-поле USER_TYPE_SETTINGS_LIST больше не восстанавливает объекты

Сборка от 10 сентября 2026, содержательная правка в ней одна. `Bitrix\Iblock\PropertyTable` теперь десериализует поле `USER_TYPE_SETTINGS_LIST` (колонка `USER_TYPE_SETTINGS`) с запретом классов. Если вы пишете свои пользовательские типы свойств инфоблока и храните в настройках обычные массивы, для в…

25.09.2026 2 мин

extranet 26.300.0 Рутинное

Extranet 26.300.0: редирект экстранета пропускает /folder/ и /html/

Extranet 26.300.0 вышел в коробку 21 сентября 2026 года (по официальному каналу «Битрикс24 changelog») и правит только редирект экстранет-пользователей. `CExtranet::ExtranetRedirect()` больше не перекидывает на экстранет-сайт авторизованного экстранет-пользователя с адресов интранет-сайта, которые н…

25.09.2026 2 мин

lists · Универсальные списки 26.200.0 Безопасность

Lists 26.200.0: REST списков строже проверяет разделы, а файлы в lib/ сменили регистр

Дифф lists 26.200.0 весит около 420 КБ, и почти весь объём ушёл на фронтенд мастера запуска бизнес-процесса `lists.element.creation_guide`, которому добавили работу с клавиатуры и со скринридером. REST-методы `lists.*` строже проверяют разделы и права при переносе, обновление без `IBLOCK_SECTION_ID`…

25.09.2026 6 мин

landing · Сайты 24 26.1200.0 Безопасность

Landing 26.1200.0: подписанный предпросмотр ушёл в CSP-песочницу, а импорт с заменой сайта помечает старые страницы удалёнными

Landing 26.1200.0 трогает 690 файлов, но основная масса там картинки, переводы и пересобранные бандлы. Релиз закрывает дыры в подписанной ссылке предпросмотра, чинит импорт с заменой сайта и размечает для скринридеров интерфейсы прав, настроек и редактора. Если вы вызываете `AiSiteChatAvailabilitySe…

25.09.2026 2 мин Устаревших API: 3

documentgenerator 26.200.100 Ломающее

Documentgenerator 26.200.100: рисунки без файла больше не остаются в размноженных строках DOCX

Documentgenerator 26.200.100 перестал оставлять в разметке DOCX рисунки из размноженных строк, у которых файл картинки не существует или не читается. Если вы наследуете `Docx` и переопределяете protected `replaceImages()`, смените `: void` на `: array` и возвращайте ID связей на удаление, иначе полу…

25.09.2026 1 мин

documentgenerator 26.200.0 Ломающее

Documentgenerator 26.200.0: плейсхолдеры в атрибутах DOCX больше не вычищаются, у DocxXml новые сигнатуры

Генератор документов 26.200.0 заполняет DOCX обходом DOM вместо регулярки по всему XML, и плейсхолдеры в атрибутах разметки, кроме `descr` и `name` у картинок, теперь доходят до готового документа как текст. У `Bitrix\DocumentGenerator\Body\DocxXml` удалён protected-метод и сменились сигнатуры ещё д…

25.09.2026 3 мин Устаревших API: 2

diskmobile 26.400.0 Заметное

Diskmobile 26.400.0: единые ссылки без отклонённых промисов и один маршрут disk:path

Diskmobile 26.400.0 вышел в коробку 17 сентября 2026 года (по официальному каналу «Битрикс24 changelog») и правит только JS-расширения мобильного приложения, PHP-API и БД не тронуты. `unifiedOpener()` из `disk/opener/unified-link/opener` при запрете доступа или ненайденной ссылке больше не отклоняет…

25.09.2026 2 мин

disk 26.1150.0 Безопасность

Disk 26.1100.100 и 26.1150.0: SDK досок больше не шлёт JWT на любой origin, а секрет по умолчанию убран

Диск приехал в коробку двумя версиями одним днём, 21 сентября 2026 года (по официальному каналу «Битрикс24 changelog»). В 26.1100.100 поменялась одна строка, и заметно это только на порталах с сессиями в режиме `separated`. 26.1150.0 закрывает канал `postMessage` в SDK досок, через который JWT и ссы…

25.09.2026 2 мин

clouds · Облачные хранилища 26.150.0 Заметное

Clouds 26.150.0: таймаут −1 в блокировке загрузки заменили на миллион секунд ради MariaDB 11.4

В clouds 26.150.0 одна правка в `CCloudStorageUpload`, три строки кода с комментарием про MariaDB 11.4. На MariaDB 11.4 и новее блокировка прогресса multipart-загрузки в облако с таймаутом `-1` штатно не берётся, теперь таймаут положительный. API и схема БД не менялись.

25.09.2026 2 мин

catalog · Торговый каталог 26.400.0 Безопасность

Catalog 26.400.0: остатки по складам в REST теперь режутся правами

Catalog 26.400.0 затрагивает 145 файлов и больше двадцати тысяч строк, но почти весь объём дали пересобранные JS-бандлы формы товаров и дубли файлов из `install/`. Содержательных изменений три. REST-выдача остатков и строк складских документов начала учитывать права на склады, установщик модуля пере…

25.09.2026 3 мин Устаревших API: 1

calendar · Календарь событий 26.125.0 Рутинное

Calendar 26.125.0: компактная форма события вне календаря

Экшен `calendar.api.calendarajax.getStandaloneCompactFormData` собирает секции для формы заново. Обычному пользователю он гарантирует секцию для сохранения и при необходимости создаёт личный календарь. Коллаберу отдаёт только секции его коллабов с правом записи, экстранет-пользователю и коллаберу бе…

25.09.2026 1 мин

bizproc · Бизнес-процессы 26.1050.0 Безопасность

Bizproc 26.1050.0: ID бизнес-процесса проверяется по формату, а Starter его больше не пропускает

В bizproc 26.1050.0 заранее заданный ID экземпляра бизнес-процесса (`PreGeneratedWorkflowId`) теперь проверяется по формату в четырёх местах, а из параметров, которые собирает `Bitrix\Bizproc\Starter\Parameters`, вырезается совсем. Тем же релизом в нескольких сырых SQL-запросах модуля убрали склейку…

25.09.2026 2 мин