Rejetto HFS servers now actively scanned for critical RCE flaw

CVE-2026-61500 es un fallo de generación débil de claves en Rejetto HFS, servidor de archivos libre y de código abierto para Windows, Linux y macOS. La vulnerabilidad reside en que las versiones 3.0.0 a 3.2.0 derivan la clave de firma de cookies de sesión del generador no criptográfico Math.random(), y además filtran salidas del mismo generador a clientes no autenticados durante el inicio de sesión. Un atacante remoto puede recopilar un número pequeño de respuestas de inicio de sesión, reconstruir el estado del generador, recuperar la clave de firma y forjar una cookie de sesión de administrador válida, otorgando acceso administrativo completo y RCE mediante la característica server_code.

Los investigadores de Horizon3 identificaron que el modelo Mythos de Anthropic no solo detectó la generación débil de números pseudoaleatorios, sino que también reconoció el flujo de filtración en una ruta de código separada y determinó cómo ambas cuestiones formaban una cadena explotable. El exploit publicado demuestra la cadena de abuso utilizando la capacidad integrada de HFS para ejecutar JavaScript personalizado del lado del servidor. La actividad de escaneo observada proviene de una única dirección IP de China Telecom dirigida a despliegues en Japón y Estados Unidos, aunque no se han reportado explotaciones exitosas confirmadas.