Están explotando la vulnerabilidad CVE-2026-61500 en Rejetto HFS, que permite la falsificación de sesiones y la ejecución remota de código (RCE). El fallo, detectado mediante IA, se debe a una clave de firma débil que permite obtener acceso administrativo total. Se recomienda a los usuarios actualizar urgentemente a la versión 3.2.1 o superior para mitigar este riesgo.

Escaneando activamente una vulnerabilidad de clave de firma débil en Rejetto HFS, identificada como CVE-2026-61500, que permite la falsificación de sesiones, la toma de control de cuentas y la ejecución remota de código (RCE).

Caitlin Condon, vicepresidenta de Investigación de Seguridad de VulnCheck, publicó en LinkedIn durante el fin de semana que los honeypots de Canary Intelligence de la empresa habían observado sondeos dirigidos a CVE-2026-61500.

Condon afirmó que la actividad observada parece ser un reconocimiento a pequeña escala desde una única dirección IP de China Telecom que sondea despliegues en Japón y Estados Unidos.

Rejetto HFS (HTTP File Server) es una herramienta de servidor para compartir archivos gratuita y de código abierto [GitHub] utilizada para el auto-alojamiento de archivos en Windows, Linux y macOS.

La vulnerabilidad CVE-2026-61500, publicada por primera vez el 13 de julio de 2026 [NVD], es una debilidad en la firma de cookies de sesión y un problema de filtración corregido en la versión 3.2.1 de Rejetto HFS.

"Rejetto HFS 3.0.0 hasta 3.2.0 deriva su clave de firma de cookie de sesión del generador no criptográfico Math.random() y revela las salidas del mismo generador a clientes no autenticados durante el inicio de sesión", dice la descripción del fallo en el NIST NVD.

"Un atacante remoto puede recopilar un pequeño número de respuestas de inicio de sesión, reconstruir el estado del generador, recuperar la clave de firma y falsificar una cookie de sesión de administrador válida, lo que conduce a un acceso administrativo completo y a la ejecución remota de código a través de la función de configuración server_code".

Investigadores de Horizon3 descubrieron el fallo utilizando el modelo Mythos de Anthropic, que identificó tanto la generación de la clave de firma débil como la filtración que permitía la recuperación de la clave.

Horizon3 publicó más detalles sobre el fallo y un exploit de prueba de concepto (PoC) en un informe el 30 de septiembre de 2026.

"Mythos no solo señaló el PRNG inseguro de forma aislada, sino que identificó simultáneamente que la aplicación filtraba salidas raw de Math.random() a través de una ruta de código separada, reconoció esos dos hechos como una cadena y determinó que la filtración producía exactamente las observaciones necesarias para hacer viable la recuperación del estado", explicó Horizon3.

recuperando la clave de sesión

Fuente: Horizon3

El exploit de los investigadores demuestra la cadena para abusar de la capacidad integrada de HFS de ejecutar JavaScript personalizado en el lado del servidor para lograr la ejecución remota de código.

La publicación de estos detalles técnicos puede haber impulsado la actividad de sondeo dirigida a CVE-2026-61500.

Los posibles escenarios de ataque incluyen acceder, robar o eliminar archivos de HFS, instalar malware en el servidor o utilizar el host comprometido para acceder a sistemas internos.

Sin embargo, VulnCheck no ha compartido detalles sobre una explotación exitosa ni cualquier actividad posterior a la explotación.

Se recomienda a los usuarios de Rejetto HFS actualizar a la versión 3.2.1 o, idealmente, a la última versión estable, 3.3.4, lo antes posible.

Fuente:
BleepingComputer