脆弱性

RSFiles!に重大な脆弱性：認証不要のファイルアップロードでコード実行の恐れ、1.17.12で修正

緊急CVE: 申請済み・未割り当て

今すぐ対応を

RSFiles!を直ちに1.17.12以降へ更新してください。改ざんの疑いがある場合は、あわせてサイトの駆除も必要です。

安全なバージョンをダウンロードアップデート手順へ

安全なバージョン： RSFiles! 1.17.12以降 · via RSJoomla! (account required)

ひと目でわかる基本情報

対象の拡張機能

RSFiles! – ファイル／ダウンロードマネージャー（com_rsfiles）

開発元

RSJoomla!

脆弱性の種類

フロントエンドのタスクを経由した認証不要のファイルアップロード → リモートコード実行（RCE）。ログイン不要、トークンの検証なし、ファイル形式のチェックなし

影響を受けるバージョン

1.17.11以前のすべてのバージョン

安全なバージョン

RSFiles! 1.17.12以降ダウンロード

深刻度

緊急

CVE

申請済み・未割り当て

Joomlaとの互換性

Joomla 4 / 5 / 6

更新日／公開日

公開／修正：2026年7月10日

どのような脆弱性ですか？

RSFiles!（com_rsfiles）は、Joomlaでファイルのダウンロードを管理する拡張機能です。そのフロントエンド側のアップロード経路が無防備でした。該当のタスクはログインなしで呼び出せるうえ、セキュリティトークン（CSRF）の検証もなく、ファイルは形式を確認されないまま保存されていました。

その結果、攻撃者は公開されているダウンロードフォルダーにPHPファイルをアップロードし、そのまま直接呼び出せます。送り込まれたコードはサーバー上で実行され（リモートコード実行）、サイトを完全に乗っ取られる恐れがあります。

影響を受けるのは1.17.11以前のすべてのバージョンです。修正版は2026年7月10日に1.17.12として公開されています。CVE番号は公開時点で申請済みでしたが、まだ割り当てられていませんでした。

自分のサイトは影響を受けますか？ – 確認方法

管理画面を開く
Joomlaの管理画面にログインします。
バージョンを確認する
拡張機能›管理›管理を開き、RSFilesで絞り込んでバージョンを確認します。
バージョンを判定する
バージョンが1.17.11以前であれば、直ちに対応が必要です。
侵入の痕跡を確認する
RSFiles!のダウンロードフォルダーに見覚えのない.phpファイルがないかを確認します（SSHであればfind … -name "*.php"など）。あわせて、ユーザー一覧に心当たりのない管理者アカウントがないかも確認してください。

脆弱性を塞ぐ手順

アップデート前に必ずバックアップ

アップデートの前に、ファイルとデータベースをバックアップしてください。万一トラブルが起きても、元の状態に戻せます（例：Akeeba Backup、またはご契約のホスティング事業者の機能）。

更新画面を開く
システム›更新›拡張機能を開き、更新を確認をクリックします。
RSFiles!を更新する
一覧からRSFiles!の項目を選び、1.17.12以降に更新します。
新しいバージョンを確認する
更新後、新しいバージョンが正しく反映されているかを確認します。

手動インストール（代替手段）

更新が表示されない場合は、RSJoomla!のアカウントからパッケージをダウンロードし、拡張機能›管理›インストールからインストールしてください。

安全なバージョンをダウンロード

公式の入手先： via RSJoomla! (account required). 必要な最低バージョン： RSFiles! 1.17.12以降.

すでに攻撃を受けている場合は？

改ざんされている場合、アップデートだけでは不十分です

アップデートは脆弱性そのものを塞ぎますが、すでにアップロードされた不正なコードを取り除くことはできません。ダウンロードフォルダーとその周辺のディレクトリに見覚えのない.phpファイルがないかを調べ、ユーザー一覧に新しく追加されたスーパーユーザーがいないかを確認してください。見つかった場合は、すべてのパスワード（Joomla管理者、FTP/SSH、データベース）を変更します。判断に迷う場合は、専門業者にサイトの駆除を依頼してください。

サイトの復旧でお困りですか。対応できる専門家はJoomlaサービスプロバイダーディレクトリで探せます。