Обновления 1С-Битрикс: что меняется в каждой версии

landing · Сайты 24 26.1600.0 Безопасность Свежее

Landing 26.1300.200–26.1600.0: закрыты дыры с PHP и правами групп, поля редактора стали ES-классами

С прошлого разбора вышли четыре версии landing: 26.1300.200, 26.1400.0, 26.1500.0 и 26.1600.0. В каждой закрыты дыры, от сборки PHP-тега при импорте сайта до лишних прав у участников групп соцсети. Попутно в режиме Битрикс24 превью черновика переехало на маршрут раздела «Сайты», а поля редактора ста…

28.10.2026 7 мин Устаревших API: 4

calendar · Календарь событий 26.300.0 Безопасность Свежее

Calendar 26.300.0: закрыты дыры в правах на календари и переговорки, дельта в REST

Calendar 26.300.0 закрывает три дыры в правах: перенос события в чужой календарь без права на добавление, подмену чужой брони переговорки через `LOCATION[’OLD’]` или `room_event_id` и добавление в участники проектов, где пользователь не состоит. Для интеграций в `calendar.event.get` появилось инкрем…

28.10.2026 2 мин

timeman 26.400.0 Безопасность Свежее

Timeman 26.400.0: LOGIC в фильтре больше не обходит права в timeman.worktimerecord.list

В timeman 26.400.0 для коробочного Битрикс24 закрыта дыра в REST-методе `timeman.worktimerecord.list`: пользователь без права видеть всех мог через `LOGIC` в фильтре получить записи чужих сотрудников. Ещё боты и другие служебные учётки пропали из `CTimeMan::GetAccess()`, `CTimeMan::GetDirectAccess()…

27.10.2026 1 мин

disk 26.1375.0 Безопасность Свежее

Disk 26.1250.0–26.1375.0: запрет скачивания при праве на чтение теперь проверяет сервер

Диск обновился с 26.1200.0 ([разбор](/bitrix-updates/disk/disk-26-1200-0)) сразу на четыре версии: 26.1250.0, 26.1300.0, 26.1350.0 и 26.1375.0. В 26.1300.0 сервер начал проверять запрет скачивания при праве на чтение, который раньше почти ничего не ограничивал, и отказ придёт по прямой ссылке, в арх…

26.10.2026 1 мин Устаревших API: 2

intranet 26.1750.0 Безопасность Свежее

Intranet 26.1750.0: приглашения в коллабы проверяются по каждому условию, отказы получили коды COLLAB_INVITE_*

Intranet 26.1750.0 вышел для коробочного Битрикс24 (в БУС этого модуля нет) вместе с [im 26.1150.0](/bitrix-updates/im/im-26-1150-0) и [socialnetwork 26.275.0](/bitrix-updates/socialnetwork/socialnetwork-26-275-0), во всех трёх есть правки коллаб. Префильтр приглашений в коллабу из-за `&&` в условии…

26.10.2026 4 мин

iblock · Информационные блоки 26.100.0 Безопасность Свежее

Iblock 26.100.0: файловые поля в БП только по ID, REST v3 для элементов

Iblock 26.100.0 (сборка от 14 сентября 2026) закрывает две дыры: подстановку путей, URL и массивов файлов в файловые поля через документ бизнес-процесса и обход прав при inline-редактировании цен в админке. Первая правка сломает шаблоны БП и свои активити, которые пишут в поле «Файл» ссылку или путь…

26.10.2026 5 мин Устаревших API: 6

catalog · Торговый каталог 26.500.0 Безопасность Свежее

Catalog 26.500.0: старый REST каталога строже проверяет права, а модуль получил REST V3

Catalog 26.500.0 (снят на БУС) закрывает дыры в правах старого REST `catalog.*`: цены, товары, свойства, складские документы и пакетная запись остатков. Обмен с 1С, синхронизация цен и внешний учёт, если они работают под пользователем с неполными правами, после обновления могут получать отказы там,…

26.10.2026 3 мин Устаревших API: 1

ai 26.1500.0 Безопасность Свежее

AI 26.1300.0–26.1500.0: закрыта XSS в имени роли копилота, ответ из кеша больше не даёт ложный сбой очереди

В коробочный Битрикс24 пришли три версии модуля `ai`: 26.1300.0, 26.1400.0 и 26.1500.0. Обновиться стоит ради 26.1500.0. В нём меню копилота перестало вставлять имя пользовательской роли в страницу как HTML, а такие роли расшаривают на отделы и группы. В 26.1400.0 очередь ИИ-запросов перестала слать…

22.10.2026 2 мин Устаревших API: 3

lists · Универсальные списки 26.400.0 Безопасность Свежее

Lists 26.300.0–26.400.0: закрыты XSS в Живой ленте и удаление чужих процессов, notifyAdmin пишет только администраторам

Модуль lists вышел двумя версиями, 26.300.0 и 26.400.0, и обе закрывают дыры. В 26.300.0 закрыли XSS при создании процесса из Живой ленты и уведомления «администратору», которые уходили любому сотруднику с любой ссылкой. В 26.400.0 сотрудник больше не удалит бизнес-процесс чужого документа. Перед об…

20.10.2026 2 мин

rpa 26.300.0 Безопасность Свежее

Rpa 26.300.0: права на перемещение элементов наконец проверяются

До RPA 26.300.0 `UserPermissions::canMoveItem()` сразу отвечал `true`, и любой сотрудник, кроме экстранет-пользователей, мог перетащить любой элемент на любую стадию, а права стадии на перемещение не учитывались. Теперь права проверяются, а тем, кто может только смотреть, `rpa.item.get` и `rpa.item….

15.10.2026 3 мин

socialnetwork · Социальная сеть 26.200.0 Безопасность Свежее

Socialnetwork 26.200.0: XSS в заявках и списке участников, копирование проекта по праву редактирования и курсор в log.blogpost.get

Socialnetwork 26.200.0 закрывает XSS в списке участников проекта и в заявках в группы, подмену ссылок через название группы и утечку задач в контекст AI. Копировать проект теперь можно только с правом на редактирование. Администраторам, у которых стояли 26.100.0 или 26.150.0, стоит проверить права с…

14.10.2026 2 мин

sign 26.800.0 Безопасность Свежее

Sign 26.800.0: закрыли доступ к чужим документам, к приглашению на подпись можно дописать текст

Sign 26.800.0 для коробочного Битрикс24 закрывает несколько дыр в проверке прав: часть AJAX-экшенов модуля не проверяла, есть ли у пользователя доступ к конкретному документу, группе или участнику. Если на портале подписывают документы, с сотрудниками или с клиентами, обновляйтесь. Из нового — текст…

14.10.2026 2 мин Устаревших API: 1

tasks 26.500.100 Безопасность Свежее

Tasks 26.400.0–26.500.100: CRM в задачах, события спринта, ревизии чек-листа и закрытые дыры в правах

В коробочный Битрикс24 пришли сразу три версии задач: 26.400.0, 26.500.0 и 26.500.100. Разработчику достались события старта и завершения спринта, связи Ганта в REST 3.0 и привязка CRM к задачам, которая пока спрятана за опцией. Перед обновлением проверьте вызовы `SocialNetwork::getMemberList()`, од…

14.10.2026 2 мин

landing · Сайты 24 26.1300.50 Безопасность Свежее

Landing 26.1300.0–26.1300.50: публикация больше не склеит PHP-тег, сайт по описанию через REST, а note меняет ответы REST v3

Вышли landing 26.1300.0 и 26.1300.50, вместе с первой пришёл note 26.500.0. Note на БУС нет, его смотрели на коробочном Битрикс24. В landing закрыли дыру в публикации блоков и добавили REST-методы, которые собирают сайт из текстового описания. Note научился забирать к себе Базу знаний 1.0 и поменял…

14.10.2026 2 мин Устаревших API: 2

intranet 26.1700.0 Безопасность Свежее

Intranet 26.1400.0–26.1700.0: закрыты дыры в приглашениях и чатах групп, удалены intranet.backup и intranet.configs

В коробочный Битрикс24 подряд вышли пять версий intranet: 26.1400.0, 26.1475.0, 26.1500.0, 26.1600.0 и 26.1700.0. Администратору стоит обновиться ради безопасности: закрыты подстановка кода в строки агентов, доступ к чужим чатам рабочих групп, приглашение в чужие отделы и обход проверки прав в `shar…

14.10.2026 1 мин Устаревших API: 4