Une faille dans Rejetto HFS découverte par l’IA Mythos d’Anthropic fait l’objet d’exploitations actives

Des cyberattaquants ont commencé à cibler activement une vulnérabilité critique dans le serveur de fichiers open source Rejetto HTTP File Server (HFS) afin de contourner les mécanismes d'authentification et d'exécuter du code arbitraire, a rapporté la société de cybersécurité VulnCheck. Classée avec un score de sévérité CVSS de 9,3, cette faille porte la référence CVE-2026-61500 et touche les versions antérieures de l'application de partage de fichiers.

Le raisonnement de l'IA met au jour une faiblesse cryptographique

Des chercheurs de la société de sécurité Horizon3.ai ont découvert la vulnérabilité en juin 2026 avec l'aide du modèle d'IA Mythos d'Anthropic. Mythos a fait appel au raisonnement mathématique pour identifier que le générateur de nombres pseudo-aléatoires (PRNG) sous-jacent de l'application produisait des sorties réversibles. Plus précisément, le framework web Node.js Koa utilisé dans Rejetto HFS s'appuyait sur la fonction Math.random(), qui mettait en œuvre l'algorithme xorshift128+.

Reconstitution de la clé de session et vecteur d'exécution

Puisque Rejetto HFS tirait sa clé de signature des cookies de session de ce même générateur non cryptographique et divulguait les sorties du générateur aux clients non authentifiés lors des tentatives de connexion, un attaquant pouvait observer une courte séquence de réponses de connexion pour calculer l'état interne du générateur. La reconstitution de cet état permet aux attaquants de retrouver la clé de signature secrète, de forger des cookies de session d'administration valides et d'exploiter la fonctionnalité de configuration server_code pour exécuter du code à distance.

Attaques actives et déploiement du correctif

Rejetto a publié la version 3.2.1 d'HFS le 13 juillet 2026 pour appliquer un correctif, avertissant dans son bulletin de sécurité que toutes les versions antérieures restaient exposées à des accès administratifs non autorisés. Le 2 octobre 2026, VulnCheck a détecté des tentatives d'exploitation actives consistant en des opérations de reconnaissance à petite échelle provenant d'une adresse IP de China Telecom et ciblant des infrastructures canaris situées aux États-Unis et au Japon.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Exploitation Hits Rejetto HFS Vulnerability Discovered by AI