HTProtect.org
Onafhankelijke informatiesite over Joomla-beveiligingslekken
NL
HTProtect HTProtect JOOMLA SECURITY
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
htprotect.org Beveiligingslekken & updatehandleidingen
Nieuw htprotect.app - Centraal sitebeheer voor meerdere Joomla-websites
Beveiligingslek

RSFiles!: kritiek beveiligingslek – upload leidt tot RCE

KritiekCVE: Aangevraagd, nog niet toegekend
Kom nu in actie
Werk RSFiles! direct bij naar 1.17.12 of nieuwer – en ruim de site daarnaast op als je een besmetting vermoedt.
Veilige versie downloaden Naar de updatestappen

Veilige versie: RSFiles! 1.17.12 of nieuwer · via RSJoomla! (account required)

In het kort

Getroffen extensie
RSFiles! – bestands-/downloadmanager (com_rsfiles)
Ontwikkelaar
RSJoomla!
Type kwetsbaarheid
Bestandsupload zonder authenticatie via een frontendtaak → Remote Code Execution (RCE); zonder inloggen, zonder token, zonder controle van het bestandstype
Getroffen versies
Alle versies tot en met 1.17.11
Veilige versie
RSFiles! 1.17.12 of nieuwer   Downloaden
Ernst
Kritiek
CVE
Aangevraagd, nog niet toegekend
Joomla-compatibiliteit
Joomla 4 / 5 / 6
Status / publicatie
Gepubliceerd/gepatcht: 10 juli 2026

Waar gaat het om?

RSFiles! (com_rsfiles) verzorgt het beheer van bestandsdownloads in Joomla. De uploadroute in de frontend lag open: de bijbehorende taak was zonder inloggen aan te roepen, zonder beveiligingstoken (CSRF), en het bestand werd opgeslagen zonder controle van het bestandstype.

Daardoor kan een aanvaller een PHP-bestand in de openbaar bereikbare downloadmap plaatsen en dat vervolgens rechtstreeks opvragen – de binnengesmokkelde code draait dan op de server (Remote Code Execution). Daarmee is de hele website over te nemen.

Kwetsbaar zijn alle versies tot en met 1.17.11. De correctie is sinds 10 juli 2026 beschikbaar als 1.17.12. Een CVE-nummer was op het moment van publicatie aangevraagd, maar nog niet toegekend.

Ben ik getroffen? – Zo controleer je het

  1. Open de backend

    Log in op de Joomla-beheeromgeving (administrator).

  2. Controleer de versie

    Filter onder Extensies›Beheren›Beheren op RSFiles en lees het versienummer af.

  3. Beoordeel de versie

    Is de versie 1.17.11 of ouder, dan is er acuut actie nodig.

  4. Let op sporen

    Controleer de downloadmap van RSFiles! op vreemde .php-bestanden (via SSH bijvoorbeeld find … -name "*.php") en de gebruikerslijst op onbekende beheerdersaccounts.

Zo dicht je het lek

Vóór elke update: maak een back-up
Zet je bestanden en database veilig voordat je updatet – dan kun je terug als er iets misgaat (bijvoorbeeld met Akeeba Backup of via je hostingprovider).
  1. Open het updatecentrum

    Ga naar Systeem›Bijwerken›Extensies en klik op Controleer op updates.

  2. RSFiles! bijwerken

    Selecteer het item en werk bij naar 1.17.12 of nieuwer.

  3. Controleer de versie

    Ga daarna na of de nieuwe versie ook echt is doorgevoerd.

Handmatige installatie (alternatief)
Verschijnt er geen update, download het pakket dan in je RSJoomla!-account en installeer het via Extensies›Beheren›Installeren.
Veilige versie downloaden

Officiële bron: via RSJoomla! (account required). Zorg voor minimaal RSFiles! 1.17.12 of nieuwer.

Is de site al aangevallen?

Bij een besmetting is een update niet genoeg
De update dicht het lek, maar verwijdert geen schadelijke code die al is geüpload. Doorzoek de downloadmap en de omliggende mappen op vreemde .php-bestanden, controleer de gebruikerslijst op nieuwe Super Users en wijzig, als je iets aantreft, alle wachtwoorden (Joomla-beheerder, FTP/SSH, database). Laat de website bij twijfel professioneel opschonen.

Hulp nodig bij het opschonen? Geschikte specialisten vind je in de Joomla Service Providers Directory.

Bronnen & meer informatie

De officiële informatie van de betreffende ontwikkelaar is altijd leidend. Deze pagina vat openbaar beschikbare informatie neutraal samen.

Terug naar alle beveiligingslekken
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de