文章总结： RejettoHFS曝出严重漏洞CVE-2026-61500，CVSS评分9.3。因使用弱伪随机数生成器，攻击者可逆向V8引擎状态伪造管理员Session，进而通过server_code接口执行任意代码。在野攻击已出现，建议立即升级至3.2.1+版本，收敛公网暴露面并排查攻击痕迹。 综合评分： 85 文章分类： 漏洞分析,应急响应,漏洞预警,WEB安全

【安全圈】Rejetto HFS曝9.3分严重漏洞：弱伪随机数致伪造Session，攻击者已发起在野RCE

安全圈

2026年10月5日 19:00 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关键词

漏洞

💡 关键提要：轻量级 HTTP 文件服务器 Rejetto HFS 近日被曝存在严重身份伪造与远程代码执行漏洞（CVE-2026-61500，CVSS 9.3）。攻击者通过未授权接口收集少量握手响应，即可反推 V8 引擎随机数生成器内部状态，还原 Session 签名密钥并伪造管理员凭证，最终借助内置脚本接口执行任意系统命令。监测显示在野攻击已于 10 月 1 日打响。

🔍 漏洞基础档案

• 漏洞编号：

  CVE-2026-61500

• 危险等级：

  严重（CVSS v3.1 评分：9.3）

• 漏洞类型：

  弱伪随机数生成器（CWE-338）导致 Session 伪造与认证绕过

• 影响组件：

  Rejetto HTTP File Server（HFS）3.0.0 至 3.2.0 版本

• 修复版本：

  HFS 3.2.1 及以上

• 在野状态：

  监测到针对真实公网资产的在野利用尝试，PoC 已完全公开

⚡ 技术原理：从弱随机数到管理员 RCE

Rejetto HFS 是广泛用于局域网与公网文件分发的高性能 Web 服务器。在 3.x 重构版本中，服务端基于 Node.js/Koa 架构设计。漏洞的核心成因出现在底层认证架构与会话凭据派生机制的严重失衡：

1. 非安全随机数初始化签名密钥

HFS 在启动初始化 Koa 会话中间件时，没有调用操作系统底层提供的安全随机源（如 Node.js 的 crypto.randomBytes()），而是直接调用了 JavaScript 标准库中非加密安全的 Math.random() 来生成用于对客户端 Cookie 签名的 Secret Key。

2. SRP 握手接口发生随机序列泄露

在未授权客户端发起 SRP（安全远程密码协议）认证握手时，后端代码同样调用了 Math.random() 生成临时交互参数，并直接将这些参数在网络响应中回传给发起请求的客户端。

3. V8 状态重建与管理员 Cookie 锻造

由于 Node.js V8 引擎内部采用 xorshift128+ 伪随机数算法，攻击者只需发送极少量的未授权登录请求，捕获数个回显参数，即可直接逆向推算出 V8 随机数引擎当前的 128 位内部状态。通过向前/向后回滚序列，攻击者能够无损还原服务端启动阶段生成的签名私钥。

4. server_code 特权调用直通 RCE

拿到底层签名私钥后，攻击者可本地计算并伪造带有超级管理员权限的 Session Cookie。利用 HFS 官方提供的 server_code 运维配置接口，管理员可自定义后端路由并直接执行服务端 JavaScript（Node.js 代码）。未授权攻击者由此完成从无凭据探测到主机级任意代码执行的完整闭环。

⚠️ 威胁态势：PoC 扩散与在野攻击爆发

虽然官方在 7 月份的 3.2.1 版本中修复了随机数调用，但大量自建或内网暴露的 HFS 实例未及时跟进。9 月下旬，安全研究员 Alejandro Ramos（aramosf）在开源社区公开了自动化 Exploit 脚本；9 月 30 日，Horizon3.ai 进一步披露了利用大模型（Anthropic Mythos）辅助挖掘该漏洞的完整技术细节。

安全厂商 VulnCheck 监测证实，自 10 月 1 日起，公网上已捕捉到利用该漏洞针对美国真实主机资产的自动化攻击流量。历史上，Rejetto HFS 的历史高危漏洞（如 CVE-2024-23692）曾遭到多组黑产与勒索团伙持续扫荡，用于投递挖矿木马、HATVIBE 恶意载荷等。本次 CVE-2026-61500 具备极高的武器化便利度，攻击门槛极低。

🛡️ 处置措施与排查清单

1. 升级版本（彻底解决）

请所有管理员立即核查部署的 HFS 版本，将实例升级至 Rejetto HFS 3.2.1 或更高版本。升级后务必重启服务进程，使旧有的不安全签名密钥彻底作废。

2. 暴露面收敛

坚决杜绝管理端口或内部文件分享服务直接映射至公网。如无强外部访问需求，应将其置于企业内网，或通过双因子认证的堡垒机/反向代理进行保护。

3. 攻击痕迹排查

检查 HTTP 访问日志中是否在短时间内出现连续针对登录接口的密集握手请求，重点排查是否存在调用 ~/api/v1/server_code 接口记录，以及宿主机是否存在异常子进程启动（如 cmd.exe、powershell.exe、bash 或非常规网络外联）。

END

阅读推荐

【安全圈】苹果确认缺陷！新机信号瘫痪

【安全圈】300万条市民投诉被挂暗网

【安全圈】Edge爆25个漏洞！快升级154版本

【安全圈】出租服务器未核验身份！老板获刑八个月

【安全圈】54亿条数据被挂卖！暗网月报曝光

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】Rejetto HFS曝9.3分严重漏洞：弱伪随机数致伪造Session，攻击者已发起在野RCE》