HTProtect.org
Web independent sobre vulnerabilitats de seguretat de Joomla
CA
HTProtect HTProtect JOOMLA SECURITY
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
htprotect.org Vulnerabilitats & guies d'actualització
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
Vulnerabilitat de seguretat

RSFiles! a Joomla: vulnerabilitat crítica de pujada amb RCE

CríticaCVE: Sol·licitat, encara no assignat
Actua ara
Actualitza RSFiles! immediatament a la 1.17.12 o superior i, si sospites que el lloc està compromès, fes-hi també una neteja.
Baixa la versió segura Ves als passos d'actualització

Versió segura: RSFiles! 1.17.12 o superior · via RSJoomla! (account required)

D'un cop d'ull

Extensió afectada
RSFiles! – gestor de fitxers i descàrregues (com_rsfiles)
Desenvolupador
RSJoomla!
Tipus de vulnerabilitat
Pujada de fitxers sense autenticació mitjançant una tasca del frontend → execució remota de codi (RCE); sense inici de sessió, sense testimoni i sense comprovació del tipus de fitxer
Versions afectades
Totes les versions fins a la 1.17.11 inclosa
Versió segura
RSFiles! 1.17.12 o superior   Baixa
Gravetat
Crítica
CVE
Sol·licitat, encara no assignat
Compatibilitat amb Joomla
Joomla 4 / 5 / 6
Actualitzat / publicat
Publicada/corregida: 10 de juliol de 2026

De què es tracta?

RSFiles! (com_rsfiles) gestiona les descàrregues de fitxers a Joomla. La via de pujada del frontend va quedar desprotegida: la tasca que se n'encarrega es podia cridar sense iniciar la sessió, sense testimoni de seguretat (CSRF), i el fitxer es desava sense comprovar-ne el tipus.

Així, un atacant pot pujar un fitxer PHP a la carpeta de descàrregues accessible públicament i obrir-lo tot seguit des del navegador: el codi introduït s'executa al servidor (execució remota de codi). Arribats a aquest punt, es pot prendre el control de tot el lloc web.

Estan afectades totes les versions fins a la 1.17.11 inclosa. La correcció està disponible des del 10 de juliol de 2026 com a 1.17.12. En el moment de la publicació, l'identificador CVE s'havia sol·licitat però encara no s'havia assignat.

M'afecta a mi? – Com comprovar-ho

  1. Obre el backend

    Inicia la sessió a l'administrador de Joomla.

  2. Comprova la versió

    A Extensions›Gestiona›Gestiona, filtra per RSFiles i mira'n el número de versió.

  3. Valora la versió

    Si la versió és la 1.17.11 o anterior, cal actuar de manera immediata.

  4. Busca'n rastres

    Revisa la carpeta on RSFiles! desa les descàrregues per si hi ha fitxers .php desconeguts (per SSH, per exemple amb find … -name "*.php"), i la llista d'usuaris per si hi ha comptes d'administrador que no reconeguis.

Com solucionar la vulnerabilitat

Abans de cada actualització: fes una còpia de seguretat
Fes una còpia de seguretat dels fitxers i de la base de dades abans d'actualitzar: així podràs tornar enrere si alguna cosa falla (per exemple, amb Akeeba Backup o des del teu proveïdor d'allotjament).
  1. Obre el gestor d'actualitzacions

    Vés a Sistema›Actualitza›Extensions i fes clic a Cerca actualitzacions.

  2. Actualitza RSFiles!

    Selecciona'n l'entrada i actualitza a la 1.17.12 o superior.

  3. Verifica la versió

    Comprova després que la nova versió s'ha aplicat correctament.

Instal·lació manual (alternativa)
Si no apareix cap actualització, baixa el paquet des del teu compte a RSJoomla! i instal·la'l des d'Extensions›Gestiona›Instal·la.
Baixa la versió segura

Descàrrega oficial: via RSJoomla! (account required). Assegura't de tenir com a mínim RSFiles! 1.17.12 o superior.

Ja han atacat el teu lloc web?

Si el lloc web està compromès, actualitzar no n'hi ha prou
L'actualització tanca la vulnerabilitat, però no elimina el codi maliciós que ja s'hagi pujat. Revisa la carpeta de descàrregues i les carpetes del voltant per si hi ha fitxers .php desconeguts, comprova la llista d'usuaris per si hi ha superusuaris nous i, si hi trobes res, canvia totes les contrasenyes (administrador de Joomla, FTP/SSH, base de dades). En cas de dubte, encarrega una neteja professional del lloc web.

Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.

Fonts & més informació

Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.

Torna a totes les vulnerabilitats
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de