Lỗ hổng xác thực nghiêm trọng trong Rejetto HFS bị khai thác
"A critical authentication-bypass vulnerability in Rejetto HTTP File Server (HFS), tracked as CVE-2026-61500, was discovered with help from Anthropic-linked bug-hunting model Mythos and was reportedly being exploited in the wild within a day of disclosure. The flaw can lead to full admin access and remote code execution; affected users are advised to update to HFS v3.2.1 or later, which fixes this issue and other security bugs."
Ảnh hưởng ở mức nghiêm trọng vì có thể dẫn tới chiếm quyền quản trị và RCE; đã có dấu hiệu khai thác ngoài thực tế rất sớm sau khi công bố.
Có thể gây gián đoạn dịch vụ file server, rủi ro lộ dữ liệu và phát sinh chi phí ứng cứu; cần vá khẩn cấp và rà soát các hệ thống HFS đang Internet-facing.
Một lỗ hổng bỏ qua xác thực nghiêm trọng trong Rejetto HTTP File Server (HFS), được theo dõi là CVE-2026-61500, đã được phát hiện với sự hỗ trợ của mô hình săn lỗi Mythos liên quan đến Anthropic. Theo báo cáo, lỗ hổng này có thể dẫn tới quyền quản trị đầy đủ và thực thi mã từ xa trên máy chủ bị ảnh hưởng.
Nhà nghiên cứu Zach Hanley của Horizon3 cho biết nhóm đã dùng Mythos để tìm ra lỗi này và khuyến nghị người dùng nâng cấp lên HFS v3.2.1 trở lên, phiên bản đã vá lỗ hổng này cùng một số lỗi bảo mật khác. Chỉ trong vòng một ngày sau khi công bố, đã xuất hiện dấu hiệu khai thác thực tế; VulnCheck ghi nhận hoạt động tấn công từ IP đặt tại Trung Quốc nhắm vào các máy chủ ở Mỹ và Nhật Bản.
Phân tích kỹ thuật cho thấy vấn đề nằm ở cách HFS tạo và ký phiên đăng nhập bằng Math.random() trong V8, khiến giá trị sinh ra có thể bị suy luận và dùng để tạo session cookie hợp lệ. Đội ngũ vận hành HFS nên kiểm tra phiên bản, ưu tiên vá ngay, và giám sát nhật ký truy cập để phát hiện dấu hiệu khai thác.