По данным VulnCheck, в настоящее время фиксируются активные попытки эксплуатации критической уязвимости в безопасности, затрагивающей Rejetto HTTP File Server (HFS).
Речь идет об уязвимости CVE-2026-61500 (оценка CVSS: 9,3). Речь идет о подделке сеанса, вызванной использованием слабого псевдослучайного генератора чисел (PRNG), что может привести к появлению предсказуемого ключа, с помощью которого злоумышленник может получить несанкционированный доступ и захватить контроль над уязвимыми системами.
«В версиях Rejetto HFS от 3.0.0 до 3.2.0 ключ для подписи сессионных куки-файлов генерируется с помощью некриптографического генератора Math.random(), а результаты работы этого же генератора раскрываются неавторизованным клиентам во время входа в систему», — говорится в уведомлении об этой уязвимости.
«Удаленный злоумышленник может собрать небольшое количество ответов на запросы входа в систему, восстановить состояние генератора, получить ключ подписи и подделать действительный сессионный файл cookie администратора, что приведет к получению полного административного доступа и удаленному выполнению кода через функцию настройки server_code».
Исследователь Horizon3.ai Зак Хэнли в публикации от 30 сентября 2026 года сообщил, что для обнаружения уязвимости использовалась модель Mythos компании Anthropic, охарактеризовав её как обход аутентификации, позволяющий произвольно выполнять удалённый код на Rejetto HFS.
«Административный API Rejetto HFS допускает использование настраиваемых конечных точек, способных выполнять произвольный JavaScript», — отметил Хэнли. «В совокупности это открывало прямой путь от неавторизованного доступа к административному контролю и, в конечном итоге, к удаленному выполнению кода».
Исправление для этой уязвимости было выпущено в июле 2026 года в версии 3.2.1. Однако только в конце сентября исследователь в области безопасности Алехандро Рамос (известный как aramosf) публично выпустил эксплойт на языке Python, демонстрирующий принцип работы уязвимости (proof-of-concept, PoC).
«HFS генерировал свой ключ подписи сессионного куки Koa с помощью функции JavaScript Math.random() и раскрывал результаты работы того же генератора случайных чисел V8 (PRNG) в процессе аутентификации SRP без предварительной аутентификации», — отметил Рамос. «Злоумышленник может восстановить состояние PRNG, извлечь ключ подписи, подделать сессию администратора и использовать задокументированную функцию настройки server_code для выполнения серверного JavaScript».
По словам Патрика Гаррити из VulnCheck, попытки эксплуатации уязвимости были обнаружены 1 октября 2026 года, на следующий день после того, как Horizon3.ai опубликовала дополнительные подробности об этой уязвимости. Компания, специализирующаяся на кибербезопасности, сообщила, что выявила неназванного злоумышленника в Китае, нацеленного на реальные уязвимые хосты в США.
CVE-2026-61500 — это вторая уязвимость в HTTP-файловом сервере Rejetto после CVE-2024-23692 (оценка CVSS: 9,8), которая активно эксплуатируется в реальных условиях. В июле 2024 года было зафиксировано, что несколько злоумышленников использовали эту уязвимость для распространения майнеров криптовалют, троянов и вредоносного ПО под названием HATVIBE.