Hackers estão ativamente escaneando servidores Rejetto HFS para explorar uma vulnerabilidade de assinatura de chave fraca, rastreada como CVE-2026-61500, que permite falsificação de sessão, sequestro de conta e execução remota de código (RCE). A vulnerabilidade deriva da geração de chaves de assinatura de sessão-cookie a partir do gerador Math.random(), não criptográfico, e da divulgação de suas saídas a clientes não autenticados durante o login.
Detalhes Técnicos
CVE-2026-61500: CVSS 9.8 (CRÍTICO), publicado em 2026-07-13T17:21:55.747Z.
A vulnerabilidade afeta Rejetto HFS 3.0.0 até 3.2.0.
Permite que um atacante remoto colete respostas de login, reconstrua o estado do gerador, recupere a chave de assinatura e forje um cookie de sessão de administrador válido.
Consequências: acesso administrativo total e execução remota de código via a configuração server_code.
Ações Recomendadas
Atualizar o Rejetto HFS para uma versão que não derive a chave de assinatura do gerador Math.random().
Implementar medidas de segurança para evitar a exploração da vulnerabilidade, como restrições de acesso e monitoramento de tráfego de rede.
Verificar se há atualizações de segurança disponíveis e aplicá-las imediatamente.
