Ataques activos explotan una vulnerabilidad en Rejetto HFS descubierta por la IA Mythos de Anthropic

Diversos ciberdelincuentes han comenzado a aprovechar de forma activa una vulnerabilidad crítica en la aplicación de código abierto Rejetto HTTP File Server (HFS) para eludir los mecanismos de autenticación y ejecutar código arbitrario, según informó la empresa de ciberseguridad VulnCheck. Registrado como CVE-2026-61500 con una puntuación de gravedad CVSS de 9,3, este fallo afecta a las versiones anteriores del programa para compartir archivos.

El razonamiento de la IA descubre una debilidad criptográfica

Investigadores de la firma de seguridad Horizon3.ai descubrieron la vulnerabilidad en junio de 2026 con la ayuda del modelo de IA Mythos de Anthropic. El modelo utilizó razonamiento matemático para determinar que el generador de números seudoaleatorios (PRNG) subyacente del programa producía resultados reversibles. En concreto, el entorno de trabajo web Koa de Node.js en Rejetto HFS dependía de la función Math.random(), la cual implementaba el algoritmo xorshift128+.

Reconstrucción de la clave de sesión y vía de ejecución

Debido a que Rejetto HFS derivaba la clave de firma de las cookies de sesión del mismo generador no criptográfico y revelaba sus resultados a clientes no autenticados durante los intentos de inicio de sesión, un atacante podía observar una breve secuencia de respuestas para calcular el estado interno del generador. Reconstruir este estado permite a los atacantes recuperar la clave secreta de firma, falsificar cookies de sesión administrativas válidas y aprovechar la función de configuración server_code para lograr la ejecución remota de código.

Ataques activos y requisitos de actualización

Rejetto publicó la versión 3.2.1 de HFS el 13 de julio de 2026 para aplicar un parche de seguridad, advirtiendo en su aviso que todas las versiones anteriores continúan siendo susceptibles a accesos administrativos no autorizados. El 2 de octubre de 2026, VulnCheck detectó intentos de explotación activa consistentes en reconocimientos a pequeña escala procedentes de una dirección IP de China Telecom dirigidos a infraestructuras de prueba en Estados Unidos y Japón.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Exploitation Hits Rejetto HFS Vulnerability Discovered by AI