Lỗ hổng Rejetto HFS bị khai thác, có thể giả mạo phiên quản trị và thực thi mã từ xa
"A critical vulnerability in Rejetto HTTP File Server (HFS), tracked as CVE-2026-61500, is being actively exploited. The flaw affects versions 3.0.0 through 3.2.0 and stems from weak session-cookie key generation using Math.random(), allowing attackers to forge administrator sessions and achieve remote code execution via the server_code feature; a fix was released in version 3.2.1."
Ảnh hưởng trực tiếp đến xác thực, quyền quản trị và có thể dẫn tới RCE trên hệ thống chạy Rejetto HFS. Lỗ hổng đang bị khai thác thực tế nên mức độ ưu tiên xử lý rất cao.
Có thể gây chiếm quyền máy chủ, gián đoạn dịch vụ chia sẻ tệp và phát sinh rủi ro rò rỉ dữ liệu hoặc cài mã độc. Các hệ thống công khai Internet cần được kiểm tra và vá ngay để giảm nguy cơ bị tấn công.
Theo VulnCheck, lỗ hổng nghiêm trọng CVE-2026-61500 trong Rejetto HTTP File Server (HFS) đang bị khai thác ngoài thực tế. Sự cố ảnh hưởng đến các phiên bản 3.0.0 đến 3.2.0 và xuất phát từ việc khóa ký cookie phiên được tạo bằng Math.random(), một cơ chế không đủ mạnh cho mục đích mật mã.
Kẻ tấn công có thể thu thập một số phản hồi đăng nhập, suy ra trạng thái của bộ sinh số giả ngẫu nhiên, khôi phục khóa ký và tạo cookie phiên quản trị hợp lệ. Khi chiếm được quyền quản trị, đối tượng tấn công có thể dùng tính năng server_code để thực thi JavaScript phía máy chủ, dẫn đến remote code execution (RCE).
Bản vá đã được phát hành trong Rejetto HFS 3.2.1 từ tháng 7/2026, nhưng PoC công khai chỉ xuất hiện vào cuối tháng 9. VulnCheck ghi nhận các nỗ lực khai thác từ ngày 1/10/2026, trong đó có mục tiêu là các máy chủ thực tế tại Mỹ.
Khuyến nghị: nâng cấp ngay lên 3.2.1 hoặc mới hơn, kiểm tra log đăng nhập và phiên quản trị bất thường, hạn chế phơi bày HFS ra Internet nếu không cần thiết, và rà soát cấu hình liên quan đến server_code để giảm rủi ro thực thi mã trái phép.