VulnCheck hlási pokusy o zneužitie chyby CVE-2026-61500 v Rejetto HFS

CVE-2026-61500 HFS je chyba v súborovom serveri Rejetto HTTP File Server (HFS) 3.x, pri ktorej už bezpečnostná firma VulnCheck zaznamenala pokusy o zneužitie. Zraniteľnosť bola zverejnená 30. septembra 2026 výskumníkmi z Horizon3 a podľa ich analýzy môže viesť k falšovaniu administrátorskej relácie aj vzdialenému spúšťaniu kódu na serveri.

VulnCheck uviedol, že jeho systém Canary Intelligence zachytil exploitačné pokusy od 1. októbra 2026. Firma zároveň chybu zaradila do vlastného katalógu známych zneužívaných zraniteľností, označovaného ako KEV. Nejde však o zaradenie do katalógu CISA KEV.

CVE-2026-61500 HFS: problém so session cookies

Podľa technického rozboru Horizon3 problém súvisí so spôsobom podpisovania session cookies. HFS pri ňom používa predvídateľný výstup funkcie Math.random(). Ak útočník získa ďalšie výstupy z rovnakého generátora, môže podľa popísaného scenára odvodiť hodnoty potrebné na vytvorenie platnej administrátorskej session.

Takto falšovaná relácia môže útočníkovi poskytnúť administrátorské oprávnenia bez štandardného prihlásenia. Následne môže dôjsť k spusteniu kódu na serveri s právami procesu HFS. Pre internetovo dostupné a nezáplatované inštancie HFS 3.x preto ide o riziko vzdialeného napadnutia bez potreby platných prihlasovacích údajov.

VulnCheck vidí pokusy, rozsah incidentov nie je známy

Informácia o aktívnych pokusoch o zneužitie vychádza z telemetrie VulnCheck. Dostupné podklady neuvádzajú, koľko systémov bolo v dôsledku chyby kompromitovaných, ani neidentifikujú osoby či skupiny stojace za zachytenými pokusmi. Tvrdenie preto samo osebe nepotvrdzuje rozsiahlu útočnú kampaň.

HFS slúži ako HTTP súborový server. Úspešné prevzatie administrátorskej relácie a spúšťanie kódu by tak mohlo ohroziť dáta sprístupnené cez server aj samotný hostiteľský systém. Konkrétny dosah závisí od konfigurácie služby a oprávnení, s ktorými je proces HFS prevádzkovaný.

Odporúčaná aktualizácia a kontrola prevádzky

Projekt Rejetto má k dispozícii novšie vydania HFS. Stránka GitHub Releases označuje verziu 3.3.4, vydanú 30. septembra 2026, ako najnovšie stabilné vydanie. Z primárnych podkladov dostupných pri tejto kontrole však nie je jednoznačne doložené, v ktorej presnej verzii bola chyba CVE-2026-61500 opravená.

Prevádzkovatelia HFS 3.x by preto mali nasadiť najnovšie stabilné vydanie a vo vlastnej inštalácii overiť stav opravy. Osobitnú pozornosť by mali venovať verejne dostupným serverom a preveriť logy na neobvyklé administrátorské relácie alebo spúšťanie serverového kódu.

Ďalší vývoj môže priniesť priame potvrdenie zraniteľných a opravených verzií od projektu Rejetto, prípadné upozornenia národných CERT tímov či zaradenie chyby do CISA KEV. Relevantné bude aj nezávislé potvrdenie konkrétnych kompromitácií alebo malvéru spojeného s touto zraniteľnosťou.

Overené a aktualizované: 05. 10. 2026 15:22