HTProtect.org
Site independente sobre vulnerabilidades de segurança no Joomla
PT
HTProtect HTProtect JOOMLA SECURITY
Novo htprotect.app - Gerenciamento centralizado de vários sites Joomla
htprotect.org Vulnerabilidades & guias de atualização
Novo htprotect.app - Gerenciamento centralizado de vários sites Joomla
Vulnerabilidade de segurança

RSFiles!: vulnerabilidade crítica de upload com RCE

CríticaCVE: Solicitado, ainda não atribuído
Aja agora
Atualize o RSFiles! imediatamente para a 1.17.12 ou superior – e, se houver suspeita de invasão, faça também a limpeza do site.
Baixar a versão segura Ir para os passos da atualização

Versão segura: RSFiles! 1.17.12 ou superior · via RSJoomla! (account required)

Em resumo

Extensão afetada
RSFiles! – gerenciador de arquivos e downloads (com_rsfiles)
Desenvolvedor
RSJoomla!
Tipo de vulnerabilidade
Upload de arquivos sem autenticação por uma tarefa do front-end → execução remota de código (RCE); sem login, sem token e sem verificação do tipo de arquivo
Versões afetadas
Todas as versões até a 1.17.11, inclusive
Versão segura
RSFiles! 1.17.12 ou superior   Baixar
Gravidade
Crítica
CVE
Solicitado, ainda não atribuído
Compatibilidade com o Joomla
Joomla 4 / 5 / 6
Atualizado / publicado
Publicado/corrigido: 10 de julho de 2026

Do que se trata?

O RSFiles! (com_rsfiles) gerencia downloads de arquivos no Joomla. O caminho de upload no front-end ficou desprotegido: a tarefa responsável podia ser chamada sem nenhum login, sem token de segurança (CSRF), e o arquivo era gravado sem qualquer verificação do tipo.

Com isso, um invasor consegue enviar um arquivo PHP para a pasta de downloads acessível publicamente e depois abri-lo diretamente – o código injetado passa a rodar no servidor (execução remota de código). A partir daí, o invasor pode assumir o controle total do site.

São afetadas todas as versões até a 1.17.11, inclusive. A correção está disponível desde 10 de julho de 2026 na versão 1.17.12. Um número CVE havia sido solicitado, mas ainda não tinha sido atribuído no momento da divulgação.

Meu site foi afetado? – Como verificar

  1. Abra o painel administrativo

    Faça login no administrador do Joomla.

  2. Verifique a versão

    Em Extensões›Gerenciar›Gerenciar, filtre por RSFiles e veja o número da versão.

  3. Avalie a versão

    Se a versão for 1.17.11 ou anterior, é preciso agir imediatamente.

  4. Procure vestígios de invasão

    Verifique se há arquivos .php estranhos na pasta de downloads do RSFiles! (por SSH, com find … -name "*.php", por exemplo) e revise a lista de usuários em busca de contas de administrador desconhecidas.

Como corrigir a vulnerabilidade

Antes de cada atualização: faça um backup
Faça backup dos arquivos e do banco de dados antes de atualizar – assim você consegue voltar atrás se algo der errado (por exemplo, com o Akeeba Backup ou pela sua hospedagem).
  1. Abra o gerenciador de atualizações

    Vá em Sistema›Atualizar›Extensões e clique em Verificar atualizações.

  2. Atualize o RSFiles!

    Selecione o item do RSFiles! e atualize para a 1.17.12 ou superior.

  3. Confirme a versão

    Depois, confira se a nova versão foi realmente aplicada.

Instalação manual (alternativa)
Se nenhuma atualização aparecer, baixe o pacote na sua conta RSJoomla! e instale-o em Extensões›Gerenciar›Instalar.
Baixar a versão segura

Download oficial: via RSJoomla! (account required). Certifique-se de ter pelo menos RSFiles! 1.17.12 ou superior.

Seu site já foi atacado?

Se o site já foi invadido, atualizar não basta
A atualização fecha a brecha, mas não remove o código malicioso que já tenha sido enviado. Procure arquivos .php estranhos na pasta de downloads e nos diretórios vizinhos, revise a lista de usuários em busca de novos Super Usuários e, se encontrar algo, troque todas as senhas (administrador do Joomla, FTP/SSH, banco de dados). Na dúvida, contrate uma limpeza profissional do site.

Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.

Fontes & mais informações

As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.

Vulnerabilidades relacionadas

Outras extensões com vulnerabilidades semelhantes. Verifique se alguma delas está instalada no seu site.

Helix3 FrameworkCríticaexplorada ativamente
JoomShaperSaiba mais
Astroid FrameworkCríticaexplorada ativamente
TemPlazaSaiba mais
JCE EditorCríticaexplorada ativamente
JoomlaContentEditorSaiba mais
Voltar para todas as vulnerabilidades
Apoiadores

Apoiadores deste site

O htprotect.org é um serviço de informação gratuito e independente de qualquer desenvolvedor. Ele conta com o apoio de:

Hospedagem & comunidade
FC-Hosting

Empresa de hospedagem Joomla da Alemanha, com suporte ativo da comunidade – detectou o primeiro ataque à vulnerabilidade do JCE.

fc-hosting.de
Idealizador & mantenedor
Website-Bereinigung.de

Especializada em limpeza, manutenção e proteção de sites Joomla e WordPress.

website-bereinigung.de

Apoie este projeto

Você tem um serviço de hospedagem ou trabalha com Joomla e quer apoiar o htprotect.org – e aparecer aqui como apoiador? Cada contribuição ajuda a avisar e a proteger mais rápido quem foi afetado.

Prefere contribuir de forma reservada, sem aparecer na lista? Uma ajuda para a caixinha do café é igualmente bem-vinda.

Apoiar o HTProtect agora
Bauschild & Service

Fabricação e instalação de placas de obra, tapumes e soluções de fachada – incluindo design e visualização em 3D.

bauschildundservice.de
IT Specialista

Suporte de TI profissional da República Tcheca – gestão de Windows, administração de domínios e hospedagem de sites.

defendersoft.cz
onlineweg.de

Portal de viagens da Alemanha – pacotes de viagem, hotéis e passagens aéreas on-line, com atendimento personalizado de agência de viagens.

onlineweg.de
Criadero

Agência de criação de Brandenburg – webdesign, materiais impressos, fotografia e panoramas em 360°, tudo em um só lugar.

criadero.de
Jahn EDV-Dienst GmbH

Prestadora de serviços de TI de Wächtersbach – sites em Joomla, assistência técnica de computadores, hardware e software.

jahnedv.de
IsariConsult

Consultoria em segurança da informação de Berlin – análises de segurança, gestão de riscos e ISO 27001 para pequenas e médias empresas.

isari-consult.de