HTProtect.org
Situs informasi independen tentang celah keamanan Joomla
ID
HTProtect HTProtect JOOMLA SECURITY
Baru htprotect.app - Manajemen Terpusat untuk Banyak Situs Joomla
htprotect.org Celah keamanan & panduan pembaruan
Baru htprotect.app - Manajemen Terpusat untuk Banyak Situs Joomla
Celah keamanan

Celah Keamanan RSFiles! Joomla: Unggah File Berujung RCE

KritisCVE: Sudah diajukan, belum ditetapkan
Segera bertindak
Segera perbarui RSFiles! ke 1.17.12 atau lebih baru – dan lakukan pembersihan bila Anda mencurigai adanya penyusupan.
Unduh versi aman Lihat langkah pembaruan

Versi aman: RSFiles! 1.17.12 atau lebih baru · via RSJoomla! (account required)

Sekilas info

Ekstensi terdampak
RSFiles! – pengelola file dan unduhan (com_rsfiles)
Pengembang
RSJoomla!
Jenis celah
Unggah file tanpa autentikasi lewat tugas di frontend → Remote Code Execution (RCE); tanpa login, tanpa token, tanpa pemeriksaan tipe file
Versi terdampak
Semua versi sampai dengan 1.17.11
Versi aman
RSFiles! 1.17.12 atau lebih baru   Unduh
Tingkat keparahan
Kritis
CVE
Sudah diajukan, belum ditetapkan
Kompatibilitas Joomla
Joomla 4 / 5 / 6
Status / tanggal publikasi
Dirilis/diperbaiki: 10 Juli 2026

Apa masalahnya?

RSFiles! (com_rsfiles) mengelola unduhan file di Joomla. Jalur unggah di sisi frontend dibiarkan terbuka: tugas yang menanganinya dapat dipanggil tanpa login, tanpa token keamanan (CSRF), dan hasil unggahan disimpan tanpa pemeriksaan tipe file.

Akibatnya, penyerang dapat mengunggah file PHP ke folder unduhan yang terbuka untuk publik lalu membukanya secara langsung – kode sisipan itu kemudian berjalan di server (Remote Code Execution). Pada titik itu, seluruh situs bisa diambil alih.

Yang terdampak adalah semua versi sampai dengan 1.17.11. Perbaikannya tersedia sejak 10 Juli 2026 sebagai versi 1.17.12. Nomor CVE sudah diajukan, tetapi belum ditetapkan saat celah ini dipublikasikan.

Apakah situs Anda terdampak? – Begini cara memeriksanya

  1. Buka backend

    Masuk ke area administrator Joomla.

  2. Periksa versi

    Di Ekstensi›Kelola›Kelola, filter RSFiles lalu baca nomor versinya.

  3. Nilai versi yang terpasang

    Jika versinya 1.17.11 atau lebih lama, diperlukan tindakan segera.

  4. Cari jejak serangan

    Telusuri folder unduhan RSFiles! dan cari file .php asing (lewat SSH misalnya dengan find … -name "*.php"), lalu periksa daftar pengguna apakah ada akun administrator yang tidak dikenal.

Cara menutup celah keamanan ini

Sebelum setiap pembaruan: buat backup
Buat backup file dan database sebelum memperbarui – agar Anda dapat kembali ke kondisi semula jika terjadi masalah (misalnya dengan Akeeba Backup atau lewat penyedia hosting Anda).
  1. Buka pusat pembaruan

    Buka Sistem›Pembaruan›Ekstensi lalu klik Periksa Pembaruan.

  2. Perbarui RSFiles!

    Pilih entri RSFiles! lalu perbarui ke 1.17.12 atau lebih baru.

  3. Pastikan versi barunya aktif

    Setelah itu, cek kembali bahwa versi baru benar-benar sudah terpasang.

Instalasi manual (alternatif)
Jika pembaruan tidak muncul, unduh paketnya dari akun RSJoomla! Anda lalu pasang melalui Ekstensi›Kelola›Instal.
Unduh versi aman

Sumber unduhan resmi: via RSJoomla! (account required). Pastikan Anda menggunakan minimal versi RSFiles! 1.17.12 atau lebih baru.

Apakah situs Anda sudah diserang?

Jika situs sudah diretas, pembaruan saja tidak cukup
Pembaruan menutup celahnya, tetapi tidak menghapus kode berbahaya yang telanjur diunggah. Telusuri folder unduhan beserta direktori di sekitarnya untuk mencari file .php asing, periksa daftar pengguna apakah ada Super User baru, dan bila Anda menemukan sesuatu, ganti semua kata sandi (admin Joomla, FTP/SSH, basis data). Bila ragu, serahkan pembersihan situs kepada ahli.

Butuh bantuan membersihkan situs Anda? Temukan tenaga ahli yang kompeten di Direktori Penyedia Layanan Joomla.

Sumber & bacaan lanjutan

Informasi resmi dari masing-masing pengembang selalu menjadi acuan utama. Halaman ini merangkum informasi yang tersedia untuk umum secara netral.

Kembali ke daftar celah keamanan
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de