HTProtect.org
Web independiente sobre vulnerabilidades de seguridad en Joomla
ES
HTProtect HTProtect JOOMLA SECURITY
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
htprotect.org Vulnerabilidades & guías de actualización
Nuevo htprotect.app - Gestión centralizada de varios sitios Joomla
Vulnerabilidad de seguridad

RSFiles!: vulnerabilidad crítica en la subida de archivos

CríticaCVE: Solicitado, aún sin asignar
Actúa ahora
Actualiza RSFiles! a la 1.17.12 o superior de inmediato y, si sospechas que tu web está comprometida, límpiala también.
Descargar la versión segura Ir a los pasos de actualización

Versión segura: RSFiles! 1.17.12 o superior · via RSJoomla! (account required)

De un vistazo

Extensión afectada
RSFiles! – gestor de archivos y descargas (com_rsfiles)
Desarrollador
RSJoomla!
Tipo de vulnerabilidad
Subida de archivos sin autenticación mediante una tarea del frontend → ejecución remota de código (RCE); sin iniciar sesión, sin token y sin comprobar el tipo de archivo
Versiones afectadas
Todas las versiones hasta la 1.17.11 incluida
Versión segura
RSFiles! 1.17.12 o superior   Descargar
Gravedad
Crítica
CVE
Solicitado, aún sin asignar
Compatibilidad con Joomla
Joomla 4 / 5 / 6
Actualizado / publicado
Publicada/corregida: 10 de julio de 2026

¿De qué se trata?

RSFiles! (com_rsfiles) gestiona las descargas de archivos en Joomla. Su vía de subida en el frontend quedaba abierta: la tarea encargada de ello se podía invocar sin iniciar sesión, sin token de seguridad (CSRF), y el archivo se guardaba sin comprobar su tipo.

Así, un atacante puede subir un archivo PHP a la carpeta de descargas accesible públicamente y abrirlo después directamente: el código introducido se ejecuta en el servidor (ejecución remota de código). A partir de ahí puede tomar el control completo del sitio.

Están afectadas todas las versiones hasta la 1.17.11 incluida. La corrección está disponible desde el 10 de julio de 2026 como 1.17.12. En el momento de la publicación se había solicitado un número CVE, pero todavía no estaba asignado.

¿Me afecta? – Cómo comprobarlo

  1. Accede al backend

    Inicia sesión en el administrador de Joomla.

  2. Comprueba la versión

    En Extensiones›Gestionar›Gestionar, filtra por RSFiles y consulta el número de versión.

  3. Valora la versión

    Si la versión es la 1.17.11 o anterior, hay que actuar de inmediato.

  4. Busca indicios de intrusión

    Revisa la carpeta de descargas de RSFiles! en busca de archivos .php ajenos (por SSH, p. ej. find … -name "*.php") y la lista de usuarios en busca de cuentas de administrador desconocidas.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad
Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).
  1. Abre el gestor de actualizaciones

    Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.

  2. Actualiza RSFiles!

    Selecciona la entrada y actualiza a la 1.17.12 o superior.

  3. Verifica la versión

    Comprueba después que la nueva versión se ha aplicado.

Instalación manual (alternativa)
Si no aparece ninguna actualización, descarga el paquete desde tu cuenta de RSJoomla! e instálalo desde Extensiones›Gestionar›Instalar.
Descargar la versión segura

Descarga oficial: via RSJoomla! (account required). Asegúrate de tener al menos RSFiles! 1.17.12 o superior.

¿Han atacado ya tu web?

Si la web está comprometida, actualizar no basta
La actualización cierra la brecha, pero no elimina el código malicioso que ya se haya subido. Busca archivos .php ajenos en la carpeta de descargas y en los directorios cercanos, revisa la lista de usuarios por si hay nuevos Super Usuarios y, si encuentras algo, cambia todas las contraseñas (administrador de Joomla, FTP/SSH y base de datos). Ante la duda, encarga una limpieza profesional del sitio.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de