近日The Hacker News 报道称，Rejetto HTTP File Server（HFS）存在一个严重安全漏洞（CVE-2026-61500，CVSS 评分 9.3），目前正被积极利用。这是 Rejetto HFS 继 CVE-2024-23692（CVSS 9.8）之后第二个被活跃利用的漏洞。此前该漏洞曾被用于投放加密货币挖矿程序、木马以及名为 HATVIBE 的恶意软件。
软件介绍
Rejetto HFS（全称 HTTP File Server）是一款由意大利开发者 Massimo Melina（网名 rejetto）开发的免费开源文件共享软件。它能把你的电脑变成一个简易的 Web 文件服务器，让其他人通过浏览器直接访问、下载或上传你磁盘上的文件，无需把文件先上传到云盘。
漏洞详情
受影响版本：HFS 3.0.0 至 3.2.0。 问题根源：会话 Cookie 签名密钥使用了弱伪随机数生成器（JavaScript 的 Math.random()），且该生成器的输出在未认证的登录过程中被泄露给客户端。攻击者可收集少量登录响应，重建 PRNG 状态，恢复签名密钥，从而伪造管理员会话 Cookie，获得完整管理权限，并进一步通过 server_code配置功能实现远程代码执行（RCE）。
发现与利用情况
Horizon3.ai 研究员 Zach Hanley 使用 Anthropic 的 Mythos 模型发现该漏洞，并于 2026 年 9 月 30 日公开细节，指出这是一个认证绕过漏洞，可导致任意远程代码执行。 补丁已在 2026 年 7 月随版本 3.2.1 发布。 安全研究员 Alejandro Ramos（aramosf）随后公开了 Python 版 PoC 利用代码。 VulnCheck 在 2026 年 10 月 1 日检测到实际利用尝试，并发现一名中国威胁行为者正在针对美国境内真实存在的漏洞主机发起攻击。
建议
尽快将 Rejetto HFS 升级至 3.2.1 或更高版本。 升级软件请进行官方升级,附链接地址:https://github.com/rejetto/hfs/releases
Poc（请遵守网络安全法，禁止进行非授权渗透测试）
https://github.com/aramosf/CVE-2026-61500