Beheerders die Rejetto HTTP File Server (HFS) gebruiken, moeten extra alert zijn. De Rejetto HFS kwetsbaarheid met CVE-2026-61500 wordt namelijk al actief misbruikt, zo melden onderzoekers en partijen die kwetsbaarheidsdata analyseren. Het gaat om een ernstig probleem (CVSS-score 9.3) dat kan leiden tot ongeautoriseerde admin-toegang en uiteindelijk remote code execution (RCE).
In dit artikel lees je wat er precies misgaat, welke versies risico lopen, hoe aanvallers te werk gaan volgens de beschikbare technische beschrijvingen, en wat je nu praktisch kunt doen om de schade te beperken.
Wat is de Rejetto HFS kwetsbaarheid precies?
De kern van CVE-2026-61500 is session forgery: een aanvaller kan een sessie-cookie namaken waardoor de server een geldig adminsessie-signaal accepteert. Daarbij draait het om een zwakke manier waarop een sessie-cookie ondertekeningssleutel wordt afgeleid.
Volgens de technische toelichting gebruikt HFS in de getroffen versies een niet-cryptografische pseudo-random generator (PRNG) voor de sessiesleutel. Daardoor kan een aanvaller de interne toestand van die generator reconstrueren zodra hij voldoende informatie uit de loginuitwisseling kan verzamelen.
Welke impact heeft dit voor je omgeving?
Als een aanvaller erin slaagt de juiste ondertekeningssleutel te herstellen, kan hij:
- een administrator session cookie vervalsen;
- volledige administratieve toegang verkrijgen op het getroffen systeem;
- vervolgens RCE uitvoeren via een functie/feature voor server-side configuratie, waarmee in de beschrijving de deur openstaat naar het uitvoeren van server-side JavaScript.
Met andere woorden: het is niet alleen een kwestie van “inloggen als admin”, maar van een keten die kan uitmonden in het overnemen van de servercontrole.
Hoe werkt de aanval in grote lijnen?
Uit beschrijvingen van onderzoekers komt een vrij concreet scenario naar voren. De aanval start niet met credentials of met een direct brute-forcepad. In plaats daarvan draait het om het verzamelen van loginresponsen en het reconstrueren van de PRNG-toestand.
De logica die onderzoekers noemen is grofweg als volgt:
- Een externe aanvaller benadert een kwetsbare HFS-installatie.
- Tijdens de login-handshake ontvangt de aanvaller voldoende output die verband houdt met dezelfde PRNG als die wordt gebruikt voor de sessie-cookie signering.
- Met een beperkt aantal loginantwoorden kan de aanvaller de generatorstate reconstrueren.
- Daarna herstelt hij de signing key en kan hij een geldige adminsessie-cookie fabriceren.
- Met die adminsessie kan hij via een beschreven server_code configuratiemogelijkheid server-side JavaScript laten uitvoeren.
Deze aanpak wordt in de analyses omschreven als een pad van ongeauthenticeerde toegang naar administratieve controle en uiteindelijk remote code execution.
Welke versies lopen risico (en wat is er al gepatcht)?
De getroffen versies in de beschikbare beschrijving lopen vanaf Rejetto HFS 3.0.0 tot en met 3.2.0. Voor die range geldt dat de sessie-cookie signering voortkomt uit de zwakke PRNG en daarbij ook relevante output wordt uitgelekt naar niet-geauthenticeerde clients tijdens het inlogproces.
Er is inmiddels een patch beschikbaar: in juli 2026 werd een fix uitgebracht in versie 3.2.1. Belangrijk: de exploitatie werd later in de tijd openbaar en er duiken meldingen op van actieve pogingen zodra onderzoekers extra details deelden.
Heb je HFS nog in de kwetsbare range draaien, dan is de meest directe maatregel: updaten naar 3.2.1 of hoger.
Wordt de kwetsbaarheid al misbruikt in het wild?
Ja. Volgens VulnCheck zijn er exploitatiepogingen gedetecteerd op 1 oktober 2026, dus kort na de publicatie van extra informatie door onderzoekers. Daarbij werd ook melding gemaakt van het targeten van echte, kwetsbare hosts in de Verenigde Staten door een nog niet nader genoemde partij.
Daarnaast wordt CVE-2026-61500 omschreven als de tweede Rejetto HFS kwetsbaarheid die na eerdere incidenten weer actief wordt uitgebuit. In 2024 (CVE-2024-23692, CVSS 9.8) was er al sprake van weaponization, waarbij onder meer malware en cryptominer-achtige payloads werden ingezet.
Dat patroon maakt één boodschap extra belangrijk: wacht niet tot “het wel losloopt”. Zodra er actieve exploitatie is, verschuift de kans op schade snel richting “nu ingrijpen”.
Waarom dit soort problemen zo gevaarlijk is
Wat deze casus extra ernstig maakt, is dat het om authenticatie-bypass via session manipulatie gaat. Traditionele detecties die alleen letten op mislukte logins of brute-force gedrag kunnen dit soort aanvallen missen, omdat het pad naar admin niet per se begint met herhaalde foutieve authenticatiepogingen.
Daar komt bij dat de onderliggende oorzaak ligt in een zwakke PRNG en in het uitwisselen van generator-gerelateerde output tijdens een handshake. Dat is precies het soort ontwerpkeuzes dat later moeilijk te “omzeilen” is met alleen logische detecties: je moet de grondoorzaak patchen.
Als je organisatie bredere aandacht nodig heeft voor security fundamentals rond identity en exploit-ketens, dan kan dit artikel passen: Focus op security fundamentals: AI versnelt, basis blijft.
Wat kun je nu doen? (actiegericht)
Hier zijn praktische stappen om direct risico te verkleinen:
- Inventariseer HFS-installaties: zoek waar Rejetto HFS draait en bepaal of versies in het bereik 3.0.0–3.2.0 aanwezig zijn.
- Update naar een gepatchte versie: ga naar 3.2.1 of hoger.
- Controleer blootstelling: beoordeel of HFS vanaf het internet bereikbaar is, en beperk indien mogelijk de toegang tot alleen noodzakelijke netwerken.
- Let op verdachte admin-activiteit: als je logging/monitoring hebt, check dan op ongebruikelijke configuratiewijzigingen of signalen die wijzen op code-uitvoering.
- Herzie je patchproces: de patch bestond al, maar exploitatie kwam later; zorg dat “beschikbaar” niet betekent “te laat”.
Wil je daarnaast weten hoe je security rapporteert of escalaties onderbouwt richting stakeholders? Dan is dit een relevante aanvulling: CISO boardvragen: zo maak je security rapportage wél scherp.
Extra context: van eerdere HFS-incidenten tot nieuwe exploitmethoden
De melding dat CVE-2026-61500 de tweede actieve HFS-kwetsbaarheid is na CVE-2024-23692 is niet alleen achtergrondinformatie. Het laat zien dat aanvallers terugkeren naar hetzelfde product wanneer er een nieuwe route naar impact ontstaat.
Daarom is het verstandig om de beveiliging van HFS als onderdeel te zien van je bredere “attack surface”-aanpak. Als één servercomponent al vaker doelwit is geworden, moet die component ook structureel opvallen in je prioriteitenlijst voor patching, monitoring en toegangsbeperking.
Als je organisatie werkt met AI-gedreven beveiligingsinitiatieven of agenten, is het ook relevant om te beseffen dat de aanvallen juist steeds vaker focussen op concrete authenticatie- en executiepaden. Een bredere blik daarop kan helpen: ADN-platform: agenten veilig op internet.
Conclusie
De Rejetto HFS kwetsbaarheid (CVE-2026-61500) laat zien hoe een ontwerpkeuze rond PRNG-gebruik en sessie-cookie signering kan uitmonden in administrator bypass en remote code execution. Er is al een patch beschikbaar sinds juli 2026, maar de exploitatie is later ook daadwerkelijk waargenomen.
Heb je HFS binnen jouw organisatie? Update dan naar 3.2.1 of hoger, beperk waar mogelijk de exposure en controleer of er verdachte admin- of configuratie-activiteiten hebben plaatsgevonden. Zo voorkom je dat een server met kwetsbare authenticatie verandert in een ingang voor volledige systeemcontrole.
Bron: https://thehackernews.com/2026/10/attackers-target-rejetto-hfs-flaw-that.html
