2026-10-05
Se está explotando de forma activa la vulnerabilidad CVE-2026-61500 en Rejetto HTTP File Server (HFS), un fallo crítico que permite falsificar una sesión de administrador y lograr la ejecución remota de código (RCE), que es la capacidad de un atacante para ejecutar comandos en el servidor a distancia. Este problema afecta a las versiones de HFS desde la 3.0.0 hasta la 3.2.0, y ya ha sido corregido en la versión 3.2.1.
El origen del fallo reside en que el software utiliza una función de JavaScript (Math.random()) que no es segura para criptografía al generar las claves de las cookies de sesión. Esto permite que un atacante reconstruya la clave y entre al sistema con privilegios de administrador. Una vez dentro, puede usar la función 'server_code' para ejecutar código malicioso directamente en el servidor.
La situación es urgente: a finales de septiembre se publicó un código de ataque (PoC) en Python y el 1 de octubre de 2026 se detectaron ataques reales en Estados Unidos, posiblemente originados desde China. La severidad técnica es máxima, con una puntuación de 9.8 en la escala CVSS 3.1.
Para protegerse, es indispensable actualizar a la versión 3.2.1 o superior. Si sospecha que su servidor ya ha sido comprometido, no basta con instalar el parche; debe cambiar todas las contraseñas (rotar credenciales), verificar que el sistema no haya sido modificado y revisar los registros de actividad en busca de accesos no autorizados.
Qué significa para una pyme colombiana y cucuteña: Si usted utiliza Rejetto HFS para compartir archivos en su empresa, debe actualizar el programa a la versión 3.2.1 de inmediato. Si su servidor está abierto a Internet, el riesgo de que un atacante tome el control total de su equipo es muy alto. Si ya lo actualizó pero nota comportamientos extraños, cambie todas las claves de acceso de su servidor de inmediato.