RSFiles!: критическая уязвимость загрузки файлов в Joomla

Коротко о главном

В чём суть уязвимости?

RSFiles! (com_rsfiles) управляет файлами для скачивания в Joomla. Механизм отправки файлов во фронтенде остался незащищённым: соответствующую задачу можно было вызвать без входа в систему и без токена безопасности (CSRF), а сам файл сохранялся без проверки его типа.

В результате злоумышленник может загрузить PHP-файл в общедоступную папку загрузок, а затем открыть его напрямую — внедрённый код выполнится на сервере (удалённое выполнение кода). После этого сайт можно захватить полностью.

Уязвимы все версии до 1.17.11 включительно. Исправление доступно с 10 июля 2026 года в версии 1.17.12. Идентификатор CVE на момент публикации был запрошен, но ещё не присвоен.

Мой сайт уязвим? – Как это проверить

1. Откройте панель управления

   Войдите в административный раздел Joomla.

2. Проверьте версию

   В разделе Расширения›Управление›Управление отфильтруйте список по запросу RSFiles и посмотрите номер версии.

3. Оцените версию

   Если это версия 1.17.11 или более ранняя, действовать нужно немедленно.

4. Поищите следы взлома

   Проверьте папку загрузок RSFiles! на посторонние файлы .php (по SSH, например find … -name "*.php"), а список пользователей — на незнакомые учётные записи администраторов.

Как закрыть уязвимость

1. Откройте центр обновлений

   Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

2. Обновите RSFiles!

   Выберите запись RSFiles! и обновите её до версии 1.17.12 или новее.

3. Проверьте версию

   После этого убедитесь, что новая версия действительно установлена.

Официальный источник: via RSJoomla! (account required). Убедитесь, что установлена версия не ниже RSFiles! 1.17.12 или новее.

Сайт уже взломали?

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Источники & полезные ссылки

• Первое сообщение об уязвимости — mySites.guruБюллетень с техническими подробностями
• RSJoomla! (разработчик)Обновление доступно через центр обновлений Joomla или в аккаунте RSJoomla!
• Joomla Vulnerable Extensions List (VEL)Список уязвимых расширений, который ведёт сообщество

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Похожие уязвимости

Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.

Партнёры этого сайта

htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:

Хостинг & сообщество

FC-Hosting

Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.

fc-hosting.de

Инициатор & оператор

Website-Bereinigung.de

Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.

website-bereinigung.de

Bauschild & Service

Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Профессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.

defendersoft.cz

onlineweg.de

Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.

onlineweg.de

Criadero

Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

ИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.

jahnedv.de

IsariConsult

Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.

isari-consult.de