Luka w zabezpieczeniach

RSFiles! – krytyczna luka w zabezpieczeniach, wykonanie kodu

KrytycznyCVE: Wniosek złożony, identyfikator jeszcze nieprzyznany

Działaj teraz

Zaktualizuj RSFiles! niezwłocznie do wersji 1.17.12 lub nowszej – a jeśli podejrzewasz włamanie, dodatkowo oczyść stronę.

Pobierz bezpieczną wersję Przejdź do kroków aktualizacji

Bezpieczna wersja: RSFiles! 1.17.12 lub nowszy · via RSJoomla! (account required)

W skrócie

Podatne rozszerzenie

RSFiles! – menedżer plików i pobierań (com_rsfiles)

Producent

RSJoomla!

Rodzaj luki

Wysyłanie plików bez uwierzytelnienia przez zadanie frontendu → zdalne wykonanie kodu (RCE); bez logowania, bez tokena, bez kontroli typu pliku

Podatne wersje

Wszystkie wersje do 1.17.11 włącznie

Bezpieczna wersja

RSFiles! 1.17.12 lub nowszy Pobierz

Poziom zagrożenia

Krytyczny

CVE

Wniosek złożony, identyfikator jeszcze nieprzyznany

Zgodność z Joomla

Joomla 4 / 5 / 6

Stan na / publikacja

Publikacja/poprawka: 10 lipca 2026

Na czym polega ta luka?

RSFiles! (com_rsfiles) zarządza plikami do pobrania w Joomla. Ścieżka wysyłania plików we frontendzie pozostawała otwarta: odpowiedzialne za nią zadanie dało się wywołać bez logowania, bez tokena bezpieczeństwa (CSRF), a plik był zapisywany bez sprawdzenia jego typu.

W efekcie atakujący może wysłać plik PHP do publicznie dostępnego katalogu z plikami do pobrania, a następnie wywołać go bezpośrednio – podrzucony kod wykonuje się wtedy na serwerze (zdalne wykonanie kodu). To wystarcza, by przejąć całą stronę.

Podatne są wszystkie wersje do 1.17.11 włącznie. Poprawka jest dostępna od 10 lipca 2026 jako 1.17.12. W chwili publikacji wniosek o numer CVE był złożony, ale identyfikatora jeszcze nie przyznano.

Czy ta luka dotyczy mojej strony? – Jak to sprawdzić

Otwórz zaplecze
Zaloguj się do panelu administracyjnego Joomla.
Sprawdź wersję
W Rozszerzenia›Zarządzaj›Zarządzaj przefiltruj listę po RSFiles i odczytaj numer wersji.
Oceń wersję
Jeśli wersja to 1.17.11 lub starsza, musisz działać natychmiast.
Poszukaj śladów włamania
Sprawdź katalog plików do pobrania RSFiles! pod kątem obcych plików .php (przez SSH np. find … -name "*.php") oraz listę użytkowników pod kątem nieznanych kont administratorów.

Jak załatać tę lukę

Przed każdą aktualizacją: kopia zapasowa

Przed aktualizacją wykonaj kopię zapasową plików i bazy danych – dzięki temu w razie problemów wrócisz do stanu sprzed zmian (np. przez Akeeba Backup lub panel hostingu).

Otwórz centrum aktualizacji
Przejdź do System›Aktualizacja›Rozszerzenia i kliknij Sprawdź aktualizacje.
Zaktualizuj RSFiles!
Zaznacz wpis RSFiles! i zaktualizuj go do wersji 1.17.12 lub nowszej.
Zweryfikuj wersję
Na koniec upewnij się, że nowa wersja rzeczywiście została zainstalowana.

Instalacja ręczna (alternatywa)

Jeśli aktualizacja się nie pojawia, pobierz pakiet ze swojego konta RSJoomla! i zainstaluj go przez Rozszerzenia›Zarządzaj›Instaluj.

Pobierz bezpieczną wersję

Oficjalne źródło: via RSJoomla! (account required). Upewnij się, że masz co najmniej RSFiles! 1.17.12 lub nowszy.

Czy strona została już zaatakowana?

Po włamaniu sama aktualizacja nie wystarczy

Aktualizacja zamyka lukę, ale nie usuwa złośliwego kodu, który został już wysłany na serwer. Przeszukaj katalog plików do pobrania i sąsiednie katalogi pod kątem obcych plików .php, przejrzyj listę użytkowników pod kątem nowych superużytkowników, a w razie znaleziska zmień wszystkie hasła (administrator Joomla, FTP/SSH, baza danych). W razie wątpliwości zleć fachowe oczyszczenie strony.

Potrzebujesz pomocy przy usuwaniu skutków włamania? Wykwalifikowanych specjalistów znajdziesz w katalogu usługodawców Joomla.

Źródła & dalsze informacje

Pierwotne zgłoszenie – mySites.guruKomunikat bezpieczeństwa ze szczegółami technicznymi
RSJoomla! (producent)Aktualizacja przez aktualizator Joomla lub konto RSJoomla!
Joomla Vulnerable Extensions List (VEL)Prowadzona przez społeczność lista podatnych rozszerzeń

Wiążące są zawsze oficjalne informacje danego producenta. Ta strona w neutralny sposób podsumowuje ogólnodostępne informacje.

Powrót do wszystkich luk w zabezpieczeniach

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de