Abertura
Hackers estão realizando varredura ativa em servidores que rodam Rejetto HFS, buscando explorar a vulnerabilidade de assinatura fraca catalogada como CVE-2026-61500. A falha, que possibilita falsificação de sessão, tomada de conta e execução remota de código, foi destacada pela BleepingComputer como crítica, indicando que atores maliciosos já estão testando a exploração em escala global.
Contexto
O Rejetto HFS é um servidor HTTP de compartilhamento de arquivos amplamente adotado por pequenas empresas e usuários domésticos devido à sua simplicidade e baixo consumo de recursos. Historicamente, o software já recebeu alertas de segurança por vulnerabilidades que permitiam acesso não autorizado, o que levou a comunidade a adotar práticas de atualização frequente. No entanto, a descoberta de uma chave de assinatura fraca em sua implementação de sessão criou um vetor de ataque que não depende de vulnerabilidades de memória, mas sim de manipulação de tokens de autenticação. Essa característica torna a exploração mais acessível, pois não exige privilégios elevados para iniciar o ataque.
Impacto
Organizações que mantêm serviços de distribuição de arquivos internos ou externos podem enfrentar comprometimento total de seus servidores caso a exploração seja bem‑sucedida. A capacidade de executar código remotamente abre a porta para instalação de backdoors, exfiltração de dados sensíveis e uso da infraestrutura comprometida para campanhas de phishing ou distribuição de malware. Até o momento, não há relatos confirmados de incidentes efetivos, mas a atividade de escaneamento indica que a janela de vulnerabilidade está sendo ativamente monitorada por agentes de ameaça. Usuários que ainda utilizam versões antigas do Rejetto HFS sem patches de segurança ficam particularmente expostos.
Detalhes técnicos
Do ponto de vista técnico, a vulnerabilidade reside na geração de tokens de sessão que utilizam uma chave criptográfica de baixa entropia. Quando um cliente estabelece uma conexão, o servidor assina o token com essa chave, permitindo que o cliente apresente o token em requisições subsequentes. Um atacante que consiga observar ou adivinhar a chave pode forjar um token válido, assumir a identidade de um usuário legítimo e, em seguida, enviar comandos que o servidor executa com os privilégios do processo. O vetor de ataque não requer vulnerabilidades de buffer overflow ou execução de código arbitrário pré‑existente; basta a capacidade de enviar requisições HTTP manipuladas. Ferramentas de varredura automatizadas podem testar rapidamente grandes faixas de endereços IP, verificando a presença da assinatura fraca e, em caso positivo, iniciar a exploração.
Encerramento
Até que os desenvolvedores do Rejetto HFS publiquem um patch que substitua a chave de assinatura por um algoritmo robusto, recomenda‑se que administradores de sistemas desativem o serviço ou apliquem mitigação temporária, como a restrição de acesso a redes confiáveis e a implementação de monitoramento de tráfego suspeito. A comunidade de segurança deve acompanhar as atualizações divulgadas pela BleepingComputer e por fontes oficiais do fornecedor. A rápida resposta das organizações afetadas pode reduzir significativamente a probabilidade de comprometimento em larga escala.