Mag1Call: новый вектор атаки на 1С через общие модули

Как показали исследования ВанСек, при наличии уязвимостей в прикладном коде — да.

В ходе исследований 2026 года команда ВанСек изучила новый вектор атаки на системы «1С:Предприятие», получивший название Mag1Call.

В чём суть Mag1Call?

В 1С существует механизм общих модулей — программных компонентов, содержащих функции и процедуры, используемые различными частями конфигурации.

У таких модулей может быть включён признак «Вызов сервера», позволяющий вызывать их экспортные методы из клиентского приложения.

И здесь есть важная особенность: по умолчанию вызывать эти методы может любой авторизованный пользователь информационной базы, независимо от назначенных ему ролей.

Даже если функция не отображается в пользовательском интерфейсе, это не означает, что её нельзя вызвать напрямую.

Причём механизм работает не только через веб-клиент по HTTP/HTTPS, но и при прямом подключении к серверу 1С по TCP/IP.

В одной из исследованных конфигураций мы обнаружили более 300 общих модулей, доступных для вызова с клиента. Каждый из них может содержать несколько экспортных методов.

Сами по себе эти методы не являются уязвимостями. Опасность возникает, когда в их реализации присутствуют ошибки безопасности.

От теории к реальным уязвимостям

Исследование показало, что Mag1Call — не просто теоретический сценарий.

Команда ВанСек обнаружила и подтвердила уязвимости, позволяющие:

• •Читать произвольные файлы на сервере 1С.
• •Выполнять команды операционной системы на сервере 1С (RCE).

Особенно интересно, что уязвимости были обнаружены в том числе в «1С:Библиотеке стандартных подсистем» (БСП) — компоненте, который широко используется в типовых конфигурациях 1С.

Один из результатов исследований ВанСек зарегистрирован в Банке данных угроз ФСТЭК России под идентификатором BDU:2026-07768. Уязвимость в БСП связана с возможностью удалённого выполнения команд ОС.

Для исследования этого вектора атаки мы также разработали утилиту CALL MY MAYBE, позволяющую получать список доступных общих модулей, изучать их экспортные методы и проверять возможность их вызова.

Полное исследование Mag1Call

Мы подготовили технический white paper, в котором подробнее рассмотрели:

• •Как устроен механизм общих модулей и почему их методы доступны пользователям с минимальными правами.
• •Как работает вектор атаки Mag1Call и почему для него необязательно использовать HTTP.
• •Какие уязвимости удалось подтвердить команде ВанСек.
• •Почему уязвимости в БСП представляют особый интерес.
• •Как проверить собственные системы 1С и снизить риски эксплуатации.

Хотите получить полную версию исследования Mag1Call в формате PDF?

Пожалуйста, заполните форму обратной связи ниже, и мы предоставим вам white paper с подробным описанием исследования