LONDON (IT BOLTWISE) – Angreifer nutzen aktuell die Rejetto-HFS-Schwachstelle CVE-2026-61500 für Session-Fälschungen, die bis zu Remote Code Execution reichen. Laut Sicherheitsanalysen beruht der Angriff auf einem schwachen PRNG in der Session-Cookie-Signierung, dessen Zustand sich aus Login-Antworten rekonstruieren lässt. Betroffen sind HFS-Versionen 3.0.0 bis 3.2.0; ein Fix ist seit Version 3.2.1 verfügbar. Das Problem ist damit besonders brisant, weil die Admin-API über server_code sogar serverseitiges JavaScript ausführen kann.
Rejetto HTTP File Server (HFS) steht erneut im Fokus, weil eine kritische Schwachstelle in kurzer Zeit von Laborrecherche in den aktiven Angriffsbetrieb übergegangen ist. Im Zentrum steht CVE-2026-61500 mit einem CVSS-Score von 9,3. Der Kernfehler liegt nicht in einer klassischen Authentifizierungslogik, sondern in der Zufallsquelle: Die Signierschlüssel für Session-Cookies werden aus einer nicht-geeigneten Pseudozufallsfunktion abgeleitet, deren Ausgaben ein Angreifer teilweise selbst aus dem Login-Handschlag mitlesen kann. Dadurch wird aus einer vermeintlich „zufälligen“ Signatur eine reproduzierbare, angreifbare Größe.
Technisch betrachtet beschreibt die Schwachstelle einen Mechanismus, bei dem HFS in den Versionen 3.0.0 bis 3.2.0 den Session-Cookie-Signing-Key über JavaScript Math.random() erzeugt und dabei zudem Ausgabewerte dieser Generator-Instanz an nicht authentifizierte Clients beim Login ausliefert. Genau diese Kombination verschiebt das Bedrohungsmodell: Wenn ein Angreifer mit relativ wenigen Login-Antworten den Zustand des PRNG rekonstruieren kann, lässt sich anschließend auch der Signing-Key rekonstruieren. Mit dem gewonnenen Schlüssel kann der Angreifer dann ein gültiges Administrator-Session-Cookie fälschen und so die Zugriffskontrollen auf Administrator-Ebene umgehen.
Der nächste Schritt ist die eigentliche Eskalationsbrücke zur Remote Code Execution. Nach den in der Berichterstattung zusammengefassten Analysen erlaubt die administrative API von HFS benutzerdefinierte Endpoints und kann über die server_code-Konfiguration serverseitiges JavaScript ausführen. Ein erfolgreicher Session-Forgery-Angriff ist damit nicht nur ein „Login-Bypass“, sondern eröffnet einen direkten Pfad von nicht authentifiziertem Zugriff zu administrativer Kontrolle und anschließend zu Code-Ausführung auf dem betroffenen System. Dass diese Kette so klar beschrieben wird, erklärt auch, warum Proof-of-Concept-Exploits nach dem Patch relativ schnell sichtbar werden konnten.
Entscheidend für Betreiber ist der Zeitverlauf bis zur Breitenwirkung. Ein Fix für CVE-2026-61500 wurde bereits im Juli 2026 als Teil von HFS Version 3.2.1 veröffentlicht. Erst später, Ende September 2026, wurde dann ein Python-basierter Proof-of-Concept öffentlich geteilt, erarbeitet von Alejandro Ramos (aka aramosf). In den Begleitdetails wird erneut der gleiche Angriffspunkt betont: Der Koa-gestützte Session-Cookie-Signing-Key entsteht aus Math.random() und die relevanten Generator-Ausgaben werden in der unauthentifizierten SRP-Login-Aushandlung offengelegt. Für viele Organisationen entsteht daraus ein typisches Sicherheits-„Fenster“: Selbst wenn ein Patch existiert, entscheidet die Update-Disziplin darüber, ob die Angreifer bis dahin ausreichend Zielsysteme finden.
Auch das Monitoring deutet auf aktive Ausnutzung hin: Laut Auswertungen eines Sicherheitsanbieters wurden am 1. Oktober 2026 Ausnutzungsversuche beobachtet, einen Tag nachdem detailliertere technische Informationen veröffentlicht worden waren. In derselben Darstellung heißt es außerdem, man habe einen (nicht näher benannten) Bedrohungsakteur in China identifiziert, der gezielt real verwundbare Systeme in den USA ansteuert. Solche Beobachtungen sind für Incident-Responder besonders relevant, weil sie zwei Dinge zusammenbringen: erstens die zeitliche Korrelation mit neuen technischen Details und zweitens den Hinweis auf automatisierte Suche nach „live“-Systemen statt nur auf Laborumgebungen.
Historisch ordnet sich die Lage in eine Serie ähnlicher Vorfälle ein. CVE-2026-61500 ist die zweite dokumentierte Schwachstelle in Rejetto HFS, die nach CVE-2024-23692 (ebenfalls mit sehr hoher Bewertung, CVSS 9,8) im Wildbetrieb sichtbar wurde. Bereits im Juli 2024 wurden mehrere Akteure dabei beobachtet, wie sie HFS-Umgebungen zum Ausliefern von Kryptowährungs-Minern, Trojanern und einer Malware namens HATVIBE missbrauchten. Für IT-Leitungen bedeutet das: HFS ist nicht nur ein „Sonderfall für Admins“, sondern ein wiederkehrendes Ziel, bei dem Patch-Management, externe Exposure-Checks und die Absicherung administrativer Schnittstellen zusammen gedacht werden müssen.
Für die Praxis lautet die Priorität damit: betroffene HFS-Installationen aus den Versionen 3.0.0 bis 3.2.0 zeitnah auf 3.2.1 oder neuer aktualisieren, anschließend die Server-Logs auf ungewöhnliche Login-Muster prüfen und die Konfiguration der server_code-Funktion so strikt wie möglich absichern oder deaktivieren, falls sie nicht zwingend benötigt wird. Zusätzlich lohnt es sich, nach Anzeichen für gefälschte Administrator-Sessions zu suchen, weil die Angriffstechnik genau darauf abzielt, die Authentifizierung formal „gültig“ wirken zu lassen. Wer HFS in öffentlich erreichbaren Netzbereichen betreibt, sollte außerdem die Angriffsfläche reduzieren, indem Ports, Reverse-Proxy-Regeln und Zugriffskontrollen konsequent auf den Minimalzugriff ausgerichtet werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-61500 in Rejetto HFS: Session-Bypass ermöglicht RCE" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-61500 in Rejetto HFS: Session-Bypass ermöglicht RCE" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-61500 in Rejetto HFS: Session-Bypass ermöglicht RCE« bei Google Deutschland suchen, bei Bing oder Google News!