حذّرت شركة VulnCheck المتخصصة في استخبارات الثغرات من رصد محاولات استغلال نشطة لثغرة أمنية حرجة تؤثر في خادم الملفات Rejetto HTTP File Server المعروف اختصارًا بـ HFS، وهي ثغرة تتيح للمهاجم تزوير جلسة مسؤول النظام والاستحواذ على الجهاز المصاب بالكامل. وجاء الكشف عن هذه المحاولات بعد أيام قليلة من نشر تفاصيل تقنية موسعة عن الثغرة ونشر شيفرة استغلال علنية لها.
تفاصيل الثغرة CVE-2026-61500 وسبب خطورتها
تحمل الثغرة المعرّف CVE-2026-61500 وقد حصلت على تقييم خطورة بلغ 9.3 على مقياس CVSS، وهو تقييم يضعها ضمن الفئة الحرجة. وتتعلق المشكلة بتزوير الجلسات، إذ تنشأ من اعتماد الخادم على مولّد أرقام شبه عشوائية ضعيف، ما يجعل مفتاح التوقيع قابلًا للتوقع. وبحسب نشرة الثغرة، فإن الإصدارات من 3.0.0 حتى 3.2.0 من HFS تشتق مفتاح توقيع ملفات تعريف الارتباط الخاصة بالجلسات من الدالة Math.random()، وهي دالة غير مصممة للأغراض التشفيرية، كما أن الخادم يكشف للعملاء غير الموثقين مخرجات المولّد نفسه أثناء عملية تسجيل الدخول.
وبناءً على ذلك يستطيع مهاجم عن بُعد جمع عدد قليل من ردود تسجيل الدخول، ثم إعادة بناء الحالة الداخلية للمولّد، واستعادة مفتاح التوقيع، وبعدها تزوير ملف تعريف ارتباط صالح لجلسة مسؤول. وتمنح هذه الجلسة المزورة صلاحيات إدارية كاملة على الخادم، وتفتح الباب أمام تنفيذ الشيفرات عن بعد من خلال ميزة الإعداد المعروفة باسم server_code.
اكتشاف الثغرة بنموذج Mythos ومسار الوصول إلى التحكم الكامل
أفاد الباحث زاك هانلي من شركة Horizon3.ai، في تدوينة نشرها في 30 سبتمبر 2026، بأن نموذج Mythos من شركة Anthropic استُخدم في اكتشاف هذه الثغرة، ووصفها بأنها تجاوز للمصادقة يسهّل تنفيذ شيفرات عشوائية عن بُعد على الخادم. وأوضح أن واجهة برمجة التطبيقات الإدارية في HFS تسمح بإنشاء نقاط وصول مخصصة قادرة على تشغيل شيفرات JavaScript عشوائية، وأن اجتماع هذه الخاصية مع تجاوز المصادقة يرسم مسارًا واضحًا من الوصول غير المصرح به إلى السيطرة الإدارية، وصولًا إلى تنفيذ الأوامر عن بعد.
وتجدر الإشارة إلى أن الجهة المطورة أصدرت إصلاحًا للثغرة في يوليو 2026 ضمن الإصدار 3.2.1. غير أن الأمر لم يتحول إلى خطر عملي ملموس إلا في أواخر سبتمبر، حين نشر باحث أمني يُعرف باسم أليخاندرو راموس، ويستخدم المعرّف aramosf، شيفرة إثبات مفهوم مكتوبة بلغة Python. وأوضح راموس أن HFS يولّد مفتاح توقيع جلسات إطار Koa باستخدام Math.random()، ويكشف مخرجات من مولّد V8 نفسه ضمن مصافحة تسجيل الدخول SRP غير الموثقة، وهو ما يمكّن المهاجم من استعادة الحالة وتزوير الجلسة ثم تشغيل شيفرات JavaScript على الخادم عبر الميزة الموثقة server_code.
رصد محاولات الاستغلال الأولى وأنشطة المهاجمين
بحسب باتريك غاريتي من VulnCheck، رُصدت أولى محاولات الاستغلال في الأول من أكتوبر 2026، أي بعد يوم واحد فقط من نشر Horizon3.ai لتفاصيل إضافية عن الثغرة. وذكرت الشركة أنها حددت جهة تهديد مجهولة الهوية تنطلق من الصين وتستهدف أجهزة مكشوفة وقابلة للاختراق فعليًا في الولايات المتحدة. وأكدت كايتلين كوندون، نائبة رئيس الأبحاث في VulnCheck، في منشور على لينكدإن، أن النشاط المرصود حتى الآن يبدو استطلاعًا محدود النطاق، إذ يقتصر على عنوان IP واحد تابع لشركة China Telecom يفحص أنظمة Canary المنشورة في اليابان والولايات المتحدة.
سجل Rejetto HFS مع الاستغلال الفعلي في الهجمات
تُعد CVE-2026-61500 الثغرة الثانية في خادم Rejetto HTTP File Server التي يُرصد استغلالها فعليًا في الهجمات بعد الثغرة CVE-2024-23692 التي بلغ تقييمها 9.8 على مقياس CVSS. وفي يوليو 2024، لوحظ أن عدة جهات تهديد حوّلت تلك الثغرة إلى سلاح لنشر برمجيات تعدين العملات المشفرة وأحصنة طروادة وبرمجية خبيثة تُعرف باسم HATVIBE.
