Обычная учётная запись в «1С» может открыть злоумышленнику доступ к серверу компании, включая возможность читать служебные файлы и запускать команды операционной системы. Исследователи обнаружили способ атаки Mag1Call, который использует ошибки в серверных функциях «1С:Предприятия». По оценке специалистов, потенциальный путь для взлома существует примерно в 95% установок платформы.
Новый метод выявила российская компания «ВанСек», разрабатывающая средства проверки безопасности «1С». Исследование опубликовали 3 ноября 2026 года. Проблема связана с общими модулями, у которых включена настройка «Вызов сервера». Такие модули содержат программные функции, доступные из клиентского приложения. Некоторые функции может вызвать любой авторизованный пользователь, независимо от назначенных прав, даже если соответствующие возможности отсутствуют в обычном интерфейсе программы.
Обращаться к серверным функциям можно через веб-клиент по HTTP/HTTPS или при прямом подключении по TCP/IP. Если разработчик не предусмотрел проверку полномочий или допустил ошибку при обработке входных данных, пользователь с минимальными правами может выполнять запрещённые операции. В одной из исследованных конфигураций специалисты обнаружили более 300 модулей с разрешённым вызовом сервера. Каждый модуль может содержать несколько отдельных функций, поэтому потенциальных точек для атаки значительно больше.
Особую опасность представляют доработанные конфигурации «1С». Компании регулярно добавляют собственные функции для бухгалтерии, кадрового учёта, торговли и взаимодействия с другими системами. Программный код создают штатные разработчики и подрядчики, причём дополнительные модули не всегда проходят полноценную проверку безопасности. В результате ошибки могут годами оставаться незамеченными, позволяя пользователям обращаться к серверным операциям без необходимых ограничений.
Оценка в 95% установок не означает, что практически любую систему «1С» можно взломать. Исследователи оценивают распространённость потенциального пути атаки. Для успешного взлома необходимо обнаружить конкретную ошибку в доступной серверной функции. Само наличие модулей с настройкой «Вызов сервера» нарушением безопасности не считается.
Специалисты «ВанСек» уже подтвердили возможность чтения произвольных файлов и выполнения системных команд. Одну из обнаруженных ошибок нашли в «1С:Библиотеке стандартных подсистем» (БСП), компоненты которой используют многие прикладные решения. Зарегистрированная во ФСТЭК уязвимость БСП BDU:2026-07768 связана с инъекцией команд, когда злоумышленник передаёт программе специально подготовленные данные и заставляет сервер выполнять посторонние инструкции операционной системы.
Фирму «1С» уведомили о проблеме, после чего разработчик выпустил исправления. Безопасные версии БСП начинаются с 3.1.11.461, 3.1.12.148 и 3.2.1.356 для соответствующих веток. Однако обновление библиотеки не устраняет возможные ошибки в самостоятельно разработанных модулях.
Для проверки серверных функций исследователи создали утилиту CALL MY MAYBE. Программа позволяет находить общие модули с разрешённым вызовом сервера, просматривать доступные методы и проверять их поведение. Разработчикам и администраторам рекомендуют уделить особое внимание собственным доработкам, проверке прав пользователей и обработке входных параметров.
На попытку атаки Mag1Call могут указывать необычные обращения к серверным функциям от пользователей с ограниченными полномочиями, чтение посторонних файлов, многочисленные ошибки выполнения методов и запуск внешних программ процессами «1С». Подозрительная активность требует дополнительного анализа, поскольку отдельные события ещё не доказывают факт взлома.
