Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código

Un fallo de seguridad grave en Rejetto HTTP File Server (HFS), una herramienta popular para compartir archivos en red, está siendo explotado activamente por ciberdelincuentes. La vulnerabilidad, registrada como CVE-2026-61500, permite a un atacante remoto suplantar la sesión de un administrador sin necesidad de credenciales, lo que abre la puerta a la ejecución de código malicioso en el servidor afectado. El problema afecta a las versiones 3.0.0 a 3.2.0 del software, y su gravedad es máxima: con una puntuación de 9.8 sobre 10 en la escala CVSS.

El origen del fallo reside en un error de diseño en la generación de claves para las cookies de sesión. En lugar de utilizar un método criptográfico seguro, HFS emplea Math.random(), una función de JavaScript pensada para usos generales, no para proteger información sensible. Esto permite a un atacante, con paciencia y observando las respuestas del servidor durante el proceso de inicio de sesión, reconstruir el estado interno del generador de números aleatorios. Una vez logrado, puede falsificar una cookie válida con privilegios de administrador y tomar el control del sistema.

Cómo se explota y qué riesgos conlleva

La explotación de esta vulnerabilidad no requiere conocimientos avanzados. A finales de septiembre, se publicó un código de prueba (PoC) en Python que automatiza el ataque, lo que ha facilitado su uso por parte de actores malintencionados. Ya se han detectado intentos de explotación en servidores expuestos a Internet, especialmente en Estados Unidos, vinculados a un grupo no identificado con presunta base en China. Una vez dentro, los atacantes pueden aprovechar funciones como server_code para ejecutar comandos en el servidor, lo que convierte el fallo en una puerta abierta para instalar malware, robar datos o incluso secuestrar el sistema.

La solución es clara: actualizar a la versión 3.2.1 de HFS, donde el fabricante ha corregido el problema. Sin embargo, antes de parchear, es crucial identificar qué servidores están accesibles desde Internet y en qué versión se encuentran. Si se detecta actividad sospechosa, como accesos no autorizados o cambios en la configuración, no basta con actualizar: habrá que revisar el sistema en busca de modificaciones persistentes, rotar credenciales y verificar la integridad de los archivos. Como medida temporal, se puede reforzar la seguridad de las cookies con claves más robustas, pero esto no sustituye la actualización.

Qué significa para tu negocio

Si en tu pyme utilizáis Rejetto HFS para compartir archivos internos o con clientes, este fallo os afecta directamente. Un servidor vulnerable expuesto a Internet puede convertirse en un punto de entrada para ciberataques, con consecuencias como la pérdida de datos, interrupciones en el servicio o incluso multas por incumplimiento de normativas como el RGPD. Revisa ahora mismo si tenéis HFS en uso, qué versión está instalada y si está accesible desde fuera de vuestra red local. Si es así, actualizad inmediatamente y restringid el acceso a la interfaz de administración solo a direcciones IP de confianza. Además, monitorizad los registros del servidor en busca de intentos de inicio de sesión sospechosos o accesos a endpoints críticos como get_config o set_config. En ciberseguridad, la prevención siempre es más barata que la reparación.