Rejetto HFSの深刻な脆弱性を突く攻撃を観測、管理者セッション偽造から遠隔コード実行へ

要点

• ファイル共有ソフトウェア「Rejetto HTTP File Server (HFS)」において、管理者セッション偽造と任意コード実行を許す深刻な脆弱性（CVE-2026-61500）が確認された。

• 署名鍵の生成に安全でない乱数生成器（Math.random()）が用いられており、未認証の通信から鍵が特定可能な状態になっていた。

• 本脆弱性はAnthropicのAIモデル「Mythos」を活用して発見され、2026年7月に修正パッチ（バージョン3.2.1）が公開されていた。

• 9月下旬の実証コード公開を経て、10月1日には米国内の稼働サーバーを標的とした実際のサイバー攻撃が検出された。

• Rejetto HFSにおいて実際の攻撃への悪用が確認された事例としては、2024年の「CVE-2024-23692」に続く2件目となる。

• セキュリティ企業のVulnCheckは、ファイル共有ソフトウェア「Rejetto HTTP File Server（HFS）」の深刻な脆弱性を狙ったサイバー攻撃を検出したと発表しました。対象の脆弱性は「CVE-2026-61500」（CVSSスコア9.3）で、攻撃者が管理者セッションを偽造し、システム上で任意のプログラムを実行できる恐れがあります。修正版は2026年7月に公開されていたものの、実証コードの公開に伴い、未適用のサーバーが狙われています。

脆弱性「CVE-2026-61500」の仕組みと攻撃手法

「CVE-2026-61500」は、Rejetto HFSのバージョン3.0.0から3.2.0までに存在する脆弱性です。共通脆弱性評価システム（CVSS）の深刻度スコアは9.3と算出されており、極めて危険度の高い問題として位置づけられています。

問題の原因は、セッションクッキーの署名鍵生成に、暗号学的に安全ではないJavaScriptの標準乱数機能「Math.random()」を採用していた点にあります。疑似乱数生成器（PRNG：計算によって乱数を生成する仕組み）のうち、暗号用途を想定していない非暗号学的PRNGは、生成される値の予測が可能です。

さらにRejetto HFSでは、ログイン時の認証ハンドシェイク処理において、未認証のクライアントに対して同じ乱数生成器（V8エンジン内のPRNG）の出力を露出させていました。そのため、遠隔の攻撃者はログイン時に返される少量の応答データを収集するだけで乱数生成器の内部状態を復元し、署名鍵そのものを特定することが可能でした。

署名鍵を特定した攻撃者は、有効な管理者セッションクッキーを偽造して正規の認証を経ずに管理者権限を取得できます。さらにRejetto HFSが備える「server_code」設定機能（サーバー上で任意のJavaScriptコードを実行できる機能）を悪用することで、リモートコード実行（RCE：遠隔から任意のプログラムを実行させる攻撃）が可能になると説明されています。

AIモデル「Mythos」を用いた発見と情報開示

本脆弱性の発見には、AIモデルが活用されたことが明らかになっています。セキュリティ企業Horizon3.aiの研究者であるZach Hanley氏が2026年9月30日に公表した調査情報によると、この脆弱性はAnthropicのAIモデル「Mythos」を用いて発見されたとのことです。

Hanley氏はこの問題を、任意のリモートコード実行を可能にする認証バイパス（認証回避の脆弱性）であると解説しています。同氏は「Rejetto HFSの管理用APIには、任意のJavaScriptを実行できるカスタムエンドポイントの設定機能がある」と指摘し、「未認証アクセスから管理者権限の奪取、そして最終的なコード実行に至る明確な道筋が存在していた」と説明しました。

パッチ提供と実証コード（PoC）の公開

開発側は本脆弱性に対し、2026年7月に公開したバージョン3.2.1で修正パッチを提供していました。しかし修正版のリリース後、2026年9月下旬になってセキュリティ研究者のAlejandro Ramos氏（別名 aramosf）によってPythonベースの実証コード（PoC：脆弱性の成立を実証する検証プログラム）が一般公開されました。

Ramos氏は、Koa（Node.js向けフレームワーク）のセッション署名鍵の特定から、管理者セッションの偽造、そしてserver_code機能によるサーバーサイドJavaScriptの実行に至る攻撃手順を再現するPoCを公開しました。これにより、外部から攻撃を実行可能な具体的な手段が公に示される形となりました。

実際に検出された攻撃活動と過去の事例

実証コードの公開と技術詳細の開示を受けて、実際のサイバー空間では直ちに悪用を試みる動きが確認されました。VulnCheckのPatrick Garrity氏によると、Horizon3.aiが詳細を公表した翌日の2026年10月1日、本脆弱性を狙った攻撃の試行が検知されたとのことです。同社は、中国に拠点を置く名称非公開の脅威アクターが、米国に存在する実際の稼働ホストを標的としていることを特定しました。

Rejetto HFSを標的とした深刻な脆弱性の悪用は、今回が初めてではありません。CVSSスコア9.8を記録した「CVE-2024-23692」でも、2024年7月に複数の脅威アクターによる活発な悪用が観測されました。当時は、暗号資産マイナー（仮想通貨の採掘プログラム）やトロイの木馬、「HATVIBE」と呼ばれるマルウェアの感染活動に悪用された経緯があります。今回のCVE-2026-61500は、Rejetto HFSにおいて実際の運用環境下での悪用が確認された脆弱性として2例目となります。