根据VulnCheck的报告，影响Rejetto HTTP文件服务器（HFS）的一个关键安全漏洞正遭遇积极的利用尝试。
该漏洞为CVE-2026-61500（CVSS评分：9.3），是由于使用弱伪随机数生成器（PRNG）导致的会话伪造，可能导致可预测的密钥，攻击者可以利用该密钥获得未授权访问并控制受影响的系统。
“Rejetto HFS 3.0.0至3.2.0版本的会话cookie签名密钥源自非加密的Math.random()生成器，并在登录期间向未认证的客户端披露同一生成器的输出，”关于该漏洞的建议中提到。
“远程攻击者可以收集少量登录响应，重建生成器的状态，恢复签名密钥，并伪造有效的管理员会话cookie，从而导致完全的管理员访问权限和通过server_code配置功能进行远程代码执行。”
Horizon3.ai的研究员Zach Hanley在2026年9月30日发布的帖子中表示，Anthropic的Mythos模型被用于发现该漏洞，称其为一种身份验证绕过，促进了在Rejetto HFS上任意远程代码的执行。
“Rejetto HFS的管理API允许自定义端点，可以执行任意JavaScript，”Hanley说。“综合来看，这为从未认证访问到管理员控制，最终到远程代码执行提供了一条明确的路径。”
该漏洞的补丁在2026年7月以版本3.2.1发布。然而，直到9月底，一位名为Alejandro Ramos（又名aramosf）的安全研究人员才公开发布了基于Python的概念验证（PoC）利用代码。
“HFS使用JavaScript Math.random()生成其Koa会话cookie签名密钥，并在未认证的SRP登录握手中暴露同一V8 PRNG的输出，”Ramos指出。“攻击者可以重建PRNG状态，恢复签名密钥，伪造管理员会话，并使用文档化的server_code配置功能执行服务器端JavaScript。”
根据VulnCheck的Patrick Garrity的说法，利用尝试在2026年10月1日被检测到，正好是在Horizon3.ai发布该漏洞的更多细节后一天。该网络安全公司表示，它识别出一名未具名的中国威胁行为者，针对美国的真实易受攻击主机。
CVE-2026-61500是继CVE-2024-23692（CVSS评分：9.8）之后，Rejetto HTTP文件服务器中第二个在野外遭到积极利用的漏洞。在2024年7月，观察到多个威胁行为者利用该漏洞投放加密货币矿工、木马和一种名为HATVIBE的恶意软件。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。