RSFiles!: vulnerabilidad crítica en la subida de archivos
Versión segura: RSFiles! 1.17.12 o superior · via RSJoomla! (account required)
De un vistazo
com_rsfiles)¿De qué se trata?
RSFiles! (com_rsfiles) gestiona las descargas de archivos en Joomla. Su vía de subida en el frontend quedaba abierta: la tarea encargada de ello se podía invocar sin iniciar sesión, sin token de seguridad (CSRF), y el archivo se guardaba sin comprobar su tipo.
Así, un atacante puede subir un archivo PHP a la carpeta de descargas accesible públicamente y abrirlo después directamente: el código introducido se ejecuta en el servidor (ejecución remota de código). A partir de ahí puede tomar el control completo del sitio.
Están afectadas todas las versiones hasta la 1.17.11 incluida. La corrección está disponible desde el 10 de julio de 2026 como 1.17.12. En el momento de la publicación se había solicitado un número CVE, pero todavía no estaba asignado.
¿Me afecta? – Cómo comprobarlo
- Accede al backend
Inicia sesión en el administrador de Joomla.
- Comprueba la versión
En Extensiones›Gestionar›Gestionar, filtra por
RSFilesy consulta el número de versión. - Valora la versión
Si la versión es la 1.17.11 o anterior, hay que actuar de inmediato.
- Busca indicios de intrusión
Revisa la carpeta de descargas de RSFiles! en busca de archivos
.phpajenos (por SSH, p. ej.find … -name "*.php") y la lista de usuarios en busca de cuentas de administrador desconocidas.
Cómo solucionar la vulnerabilidad
- Abre el gestor de actualizaciones
Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.
- Actualiza RSFiles!
Selecciona la entrada y actualiza a la 1.17.12 o superior.
- Verifica la versión
Comprueba después que la nueva versión se ha aplicado.
Descarga oficial: via RSJoomla! (account required). Asegúrate de tener al menos RSFiles! 1.17.12 o superior.
¿Han atacado ya tu web?
.php ajenos en la carpeta de descargas y en los directorios cercanos, revisa la lista de usuarios por si hay nuevos Super Usuarios y, si encuentras algo, cambia todas las contraseñas (administrador de Joomla, FTP/SSH y base de datos). Ante la duda, encarga una limpieza profesional del sitio.¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.
Fuentes & más información
- Aviso original – mySites.guruDetalles técnicos de la vulnerabilidad
- RSJoomla! (desarrollador)Obtén la actualización desde el actualizador de Joomla o desde tu cuenta de RSJoomla!
- Joomla Vulnerable Extensions List (VEL)Lista de extensiones vulnerables mantenida por la comunidad
Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.
Vulnerabilidades relacionadas
Otras extensiones con vulnerabilidades similares. Comprueba si alguna de ellas está instalada en tu web.
Colaboradores de esta web
htprotect.org es un servicio de información gratuito e independiente de cualquier desarrollador. Cuenta con el apoyo de:
Proveedor de hosting para Joomla en Alemania, con soporte activo a la comunidad – detectó el primer ataque contra la vulnerabilidad de JCE.
fc-hosting.de
Especializada en la limpieza, el mantenimiento y la protección de webs Joomla y WordPress.
website-bereinigung.deApoya este proyecto
¿Tienes un servicio de hosting o de Joomla y quieres apoyar htprotect.org – y aparecer aquí como colaborador? Cada aportación ayuda a avisar y a proteger antes a los afectados.
¿Prefieres colaborar en privado, sin aparecer mencionado? Una pequeña aportación al bote del café nos alegra igual.
Fabricación y montaje de carteles de obra, vallas de obra y soluciones de fachada – incluidos el diseño y la visualización en 3D.
bauschildundservice.deSoporte informático profesional desde Chequia – gestión de Windows, administración de dominios y alojamiento web.
defendersoft.cz
Portal de viajes de Alemania – viajes combinados, hoteles y vuelos en línea, con asesoramiento personal de agencia de viajes.
onlineweg.de
Agencia creativa de Brandeburgo – diseño web, medios impresos, fotografía y panorámicas de 360° de un solo proveedor.
criadero.deProveedor de servicios informáticos de Wächtersbach – webs Joomla, servicio técnico de PC, hardware y software.
jahnedv.de
Consultoría de seguridad de la información de Berlín – análisis de seguridad, gestión de riesgos e ISO 27001 para pymes.
isari-consult.de