HTProtect.org
Független információs oldal a Joomla biztonsági réseiről
HU
HTProtect HTProtect JOOMLA SECURITY
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
htprotect.org Biztonsági rések & frissítési útmutatók
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
Biztonsági rés

RSFiles! – kritikus biztonsági rés: távoli kódfuttatás

KritikusCVE: Igényelve, még nincs kiosztva
Azonnali teendő
Frissítse az RSFiles! bővítményt haladéktalanul 1.17.12-es vagy újabb verzióra – feltörés gyanúja esetén a weboldal megtisztítása is szükséges.
Biztonságos verzió letöltése Ugrás a frissítés lépéseihez

Biztonságos verzió: RSFiles! 1.17.12 vagy újabb · via RSJoomla! (account required)

A lényeg röviden

Érintett bővítmény
RSFiles! – fájl- és letöltéskezelő (com_rsfiles)
Fejlesztő
RSJoomla!
A biztonsági rés típusa
Hitelesítés nélküli fájlfeltöltés a frontend egyik feladatán keresztül → távoli kódfuttatás (RCE); bejelentkezés, biztonsági token és fájltípus-ellenőrzés nélkül
Érintett verziók
Minden verzió az 1.17.11-es kiadással bezárólag
Biztonságos verzió
RSFiles! 1.17.12 vagy újabb   Letöltés
Súlyosság
Kritikus
CVE
Igényelve, még nincs kiosztva
Joomla-kompatibilitás
Joomla 4 / 5 / 6
Állapot / közzététel
Közzététel/javítás: 2026. július 10.

Miről van szó?

Az RSFiles! (com_rsfiles) a Joomla fájlletöltéseit kezeli. A frontend oldali feltöltési útvonal védtelen maradt: az ezért felelős feladat bejelentkezés nélkül is meghívható volt, biztonsági token (CSRF) nélkül, a feltöltött fájlt pedig a rendszer a típusának ellenőrzése nélkül mentette el.

Egy támadó így PHP-fájlt tölthet fel a nyilvánosan elérhető letöltési mappába, majd közvetlenül meg is nyithatja – a becsempészett kód ekkor a kiszolgálón fut le (távoli kódfuttatás). Ezzel a weboldal felett teljesen átvehető az irányítás.

Érintett minden verzió az 1.17.11-es kiadással bezárólag. A javítás 2026. július 10-e óta érhető el 1.17.12 néven. CVE-azonosítót a közzététel idején már igényeltek, de még nem osztották ki.

Érintett az oldalam? – Így ellenőrizhető

  1. Az adminisztrációs felület megnyitása

    Jelentkezzen be a Joomla adminisztrációs felületére.

  2. A verzió ellenőrzése

    A Bővítmények›Kezelés›Kezelés menüpontban szűrjön az RSFiles névre, és olvassa le a verziószámot.

  3. A verzió kiértékelése

    Ha a telepített verzió 1.17.11 vagy annál régebbi, azonnali beavatkozásra van szükség.

  4. A behatolás nyomainak keresése

    Vizsgálja át az RSFiles! letöltési mappáját: nem található-e benne idegen .php fájl (SSH-n keresztül például a find … -name "*.php" paranccsal). A felhasználók listájában pedig keressen ismeretlen adminisztrátori fiókokat.

Így szüntethető meg a biztonsági rés

Frissítés előtt: biztonsági mentés
Frissítés előtt mentse el a fájlokat és az adatbázist – így hiba esetén bármikor visszaállítható a korábbi állapot (pl. az Akeeba Backup segítségével vagy a tárhelyszolgáltatónál).
  1. A frissítéskezelő megnyitása

    Lépjen a Rendszer›Frissítés›Bővítmények menüpontra, és kattintson a Frissítések keresése gombra.

  2. Az RSFiles! frissítése

    Jelölje ki a bejegyzést, és frissítsen 1.17.12-es vagy újabb verzióra.

  3. A verzió ellenőrzése

    Ezt követően győződjön meg arról, hogy az új verzió valóban életbe lépett.

Kézi telepítés (alternatíva)
Ha nem jelenik meg frissítés, töltse le a csomagot az RSJoomla! ügyfélfiókjából, és telepítse a Bővítmények›Kezelés›Telepítés menüpontban.
Biztonságos verzió letöltése

Hivatalos letöltési forrás: via RSJoomla! (account required). A telepített verzió legyen legalább RSFiles! 1.17.12 vagy újabb.

Feltörték már a weboldalt?

Feltörés esetén a frissítés önmagában nem elég
A frissítés bezárja a biztonsági rést, de a már feltöltött kártékony kódot nem távolítja el. Keressen idegen .php fájlokat a letöltési mappában és a környező könyvtárakban, ellenőrizze a felhasználók listáját, nem jelent-e meg új szuperfelhasználó, és találat esetén cserélje le az összes jelszót (Joomla-adminisztrátor, FTP/SSH, adatbázis). Kétség esetén bízza szakemberre a weboldal megtisztítását.

Segítségre van szüksége a kártékony kód eltávolításához? Megfelelő szakembereket a Joomla szolgáltatói jegyzékében talál.

Források & további hivatkozások

Minden esetben az adott fejlesztő hivatalos közlése az irányadó. Ez az oldal semlegesen foglalja össze a nyilvánosan elérhető információkat.

Vissza az összes biztonsági réshez
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de