Rejetto HFS (HTTP File Server) · Falsificación de sesión de administrador y RCE

Quien administre un servidor Rejetto HFS expuesto a Internet tiene estos días una tarea prioritaria: comprobar la versión y actualizar. Una vulnerabilidad calificada de crítica —CVE-2026-61500— permite a un atacante que no dispone de ninguna credencial colarse como administrador y, a partir de ahí, ejecutar código en la máquina. No es un escenario teórico: hay una prueba de concepto publicada y ya se han observado los primeros sondeos en busca de servidores vulnerables.

Descripción

Rejetto HFS (HTTP File Server) es un programa gratuito y de código abierto que convierte un ordenador en un servidor de archivos accesible desde el navegador: se usa mucho para compartir ficheros de forma rápida sin montar infraestructura pesada. Precisamente por su ligereza es habitual encontrarlo publicado directamente en Internet, que es donde el riesgo se vuelve relevante.

La vulnerabilidad, registrada como CVE-2026-61500, afecta a las versiones 3.0.0 a 3.2.0, ambas incluidas, y está corregida en la 3.2.1. Se clasifica como uso de un generador de números pseudoaleatorios criptográficamente débil (identificador CWE-338; un «CWE» es la categoría estandarizada del tipo de defecto). Su gravedad es crítica: CVSS 9,3 en la escala v4.0 y 9,8 en la v3.1, según VulnCheck, la entidad que asignó el identificador y, por tanto, actúa como CNA (la autoridad acreditada para registrar el fallo). El CVSS (Common Vulnerability Scoring System) es el baremo de 0 a 10 con el que se mide la gravedad técnica.

El crédito del hallazgo corresponde a Zach Hanley, de la firma Horizon3.ai, que según el registro realizó la investigación con apoyo de un modelo de inteligencia artificial de Anthropic. La vulnerabilidad se hizo pública junto al parche el 13 de julio de 2026.

Mecánica

Para que un servidor recuerde que un usuario ya ha iniciado sesión, suele entregarle una cookie (un pequeño dato que el navegador devuelve en cada petición) y la «firma» con una clave secreta, de modo que nadie pueda fabricar una cookie falsa sin conocer esa clave. La seguridad del sistema depende, por tanto, de que esa clave sea imposible de adivinar.

El problema de HFS está en cómo genera esa clave de firma. En lugar de recurrir a un generador criptográfico (diseñado para producir valores impredecibles), utiliza Math.random(), la función de aleatoriedad de uso general de JavaScript, pensada para tareas sin requisitos de seguridad. Internamente, ese generador emplea un algoritmo (xorshift128+) que es reversible: si se observan suficientes valores que produce, es posible reconstruir su «estado interno» y, con él, predecir el resto de la secuencia.

El agravante es que el propio proceso de inicio de sesión de HFS filtra salidas de ese mismo generador a cualquier cliente no autenticado. Es decir, un atacante solo tiene que pedir el formulario de login unas cuantas veces, recopilar esas salidas, reconstruir el estado del generador y deducir la clave con la que el servidor firma las sesiones. A partir de ese momento la clave deja de ser un secreto.

Con la clave en su poder, el atacante fabrica una cookie de sesión válida con privilegios de administrador y entra en el panel de gestión sin haber conocido ninguna contraseña. El último eslabón convierte el acceso en control total del servidor: la función de configuración server_code de HFS permite ejecutar código JavaScript en el lado del servidor, de modo que la falsificación de sesión desemboca en ejecución remota de código (RCE, ejecutar programas en la máquina de forma remota). Según las fuentes, el ataque es de bajo coste y no requiere interacción de la víctima.

Respuesta del creador

El mantenedor del proyecto, Rejetto, publicó la versión corregida HFS 3.2.1 el 13 de julio de 2026. Las notas de esa versión advierten, en términos genéricos, de que «se encontraron múltiples vulnerabilidades de seguridad en todas las versiones anteriores» que «potencialmente permitían a un atacante obtener acceso administrativo a HFS», pero no incluyen una descripción técnica detallada ni mencionan el identificador CVE.

El seguimiento de la explotación lo ha aportado la empresa de inteligencia de amenazas VulnCheck, que además es la CNA que registró el fallo. Sus sistemas de sensores (honeypots, servidores trampa que registran los intentos de ataque) observaron actividad contra CVE-2026-61500 a partir del 1 de octubre de 2026. Su responsable de investigación, Caitlin Condon, la describió como reconnaissance a pequeña escala (reconocimiento: barridos para localizar servidores vulnerables, no un compromiso masivo confirmado), procedente de una única dirección IP de China Telecom y dirigida a sistemas en Japón y Estados Unidos. VulnCheck no ha informado de explotación exitosa ni de actividad posterior al acceso, y la propia firma apunta que la publicación del análisis de Horizon3, el 30 de septiembre de 2026, pudo haber desencadenado esos sondeos.

Conviene matizar dos puntos para no sobredimensionar el caso. Primero, la actividad observada es por ahora de sondeo, no un ataque masivo con víctimas confirmadas. Segundo, la vulnerabilidad figura en la base de vulnerabilidades explotadas conocidas de VulnCheck, pero no consta en el catálogo KEV de la agencia estadounidense CISA; tampoco hay, por ahora, aviso específico de INCIBE-CERT al respecto. La atribución a «un actor con base en China» que circula en algunos medios se apoya únicamente en el origen de la dirección IP, lo que no permite identificar a un responsable concreto.

Parches y mitigaciones

Qué hacer hoy

1. Actualizar. La corrección está en HFS 3.2.1; lo recomendable es instalar la última versión estable disponible (en el momento de redactar esta nota, la 3.3.4). Es la única solución que cierra realmente el fallo.
2. Inventariar la exposición. Localice qué instancias de HFS están publicadas en Internet y qué versión ejecutan, dando prioridad al rango 3.0.0–3.2.0.
3. Reducir la superficie de ataque. Restrinja la interfaz y la API de administración a redes de confianza, apóyese en segmentación de red y, si es posible, no exponga el panel de gestión directamente a Internet.
4. Vigilar los registros. Revise los logs en busca de abusos del flujo de autenticación y de llamadas a funciones sensibles de configuración, en particular get_config y set_config.

Mitigación provisional

Si no se puede actualizar de inmediato, se puede configurar una clave de firma robusta mediante la opción COOKIE_SIGN_KEYS, lo que dificulta la falsificación de cookies. No es un sustituto del parche: es una contención temporal hasta aplicar la versión corregida.

Si sospecha que ya le han comprometido

Dado que el fallo permite obtener sesión de administrador, ejecutar código y realizar cambios persistentes, actualizar no basta. Rote credenciales, revise la integridad del sistema, compruebe posibles modificaciones en la configuración y en especial cualquier uso de server_code, y valore una respuesta a incidentes en regla.

Fuentes

• OpenCVE — CVE-2026-61500 (datos NVD/MITRE: CVSS, CWE, versiones)
• VulnCheck — Rejetto HFS Session Forgery via Predictable Signing Key (aviso del CNA)
• GitHub — Rejetto HFS, notas de la versión v3.2.1 (fabricante)
• BleepingComputer — Rejetto HFS servers now actively scanned for critical RCE flaw
• SecurityWeek — Exploitation Hits Rejetto HFS Vulnerability Discovered by AI
• The Hacker News — Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE
• GitHub — aramosf/CVE-2026-61500 (prueba de concepto y laboratorio Docker)
• Hispasec Una al Día — Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código