05/10/2026 · VietTechies · Biên tập
Theo công ty an ninh mạng VulnCheck, các nhóm tấn công mạng đã bắt đầu nhắm vào một lỗ hổng bảo mật nghiêm trọng trong phần mềm máy chủ tập tin mã nguồn mở Rejetto HTTP File Server (HFS) nhằm vượt qua cơ chế xác thực và thực thi mã tùy ý. Lỗ hổng này được theo dõi dưới mã CVE-2026-61500 với điểm mức độ nghiêm trọng CVSS là 9,3, ảnh hưởng đến các bản cài đặt trước đây của ứng dụng chia sẻ tập tin này.
Khả năng suy luận của AI phát hiện điểm yếu mã hóa
Các nghiên cứu viên tại công ty an toàn thông tin Horizon3.ai đã phát hiện lỗ hổng bảo mật này vào tháng 6 năm 2026 với sự hỗ trợ từ mô hình AI Mythos của Anthropic. Mythos AI đã áp dụng phương pháp suy luận toán học để nhận diện rằng bộ tạo số giả ngẫu nhiên (PRNG) mà ứng dụng sử dụng cho ra kết quả có thể khôi phục ngược lại. Cụ thể, khung làm việc web Koa chạy trên Node.js trong Rejetto HFS phụ thuộc vào hàm Math.random(), vốn triển khai thuật toán xorshift128+.
Tái dựng khóa phiên làm việc và tiến trình thực thi mã
Do Rejetto HFS tạo khóa ký cookie phiên làm việc từ chính bộ tạo số không mang tính chất mã hóa này, đồng thời làm rò rỉ đầu ra của bộ tạo số cho các máy khách chưa xác thực trong quá trình đăng nhập, kẻ tấn công có thể quan sát một chuỗi ngắn phản hồi đăng nhập để tính toán trạng thái nội bộ của bộ tạo số. Việc tái dựng trạng thái này giúp tin tặc khôi phục khóa ký bí mật, giả mạo cookie phiên làm việc hợp lệ của quản trị viên và lợi dụng tính năng cấu hình server_code để chiếm quyền thực thi mã từ xa.
Đợt tấn công thực tế và yêu cầu cập nhật bản vá
Rejetto đã phát hành phiên bản HFS 3.2.1 vào ngày 13 tháng 7 năm 2026 để khắc phục lỗ hổng bảo mật kể trên, đồng thời đưa ra cảnh báo rằng toàn bộ các phiên bản trước đó đều có nguy cơ bị truy cập quản trị trái phép. Đến ngày 2 tháng 10 năm 2026, VulnCheck phát hiện các nỗ lực khai thác thực tế dưới hình thức thăm dò quy mô nhỏ, xuất phát từ một địa chỉ IP thuộc mạng China Telecom và nhắm vào hạ tầng canary tại Mỹ và Nhật Bản.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Exploitation Hits Rejetto HFS Vulnerability Discovered by AI