Javas Corner - Sebuah celah keamanan kritis pada Rejetto HTTP File Server atau HFS dilaporkan sedang mengalami upaya eksploitasi aktif. Menurut VulnCheck, kerentanan yang diberi kode CVE-2026-61500 dengan skor CVSS 9.3 ini memungkinkan penyerang memalsukan sesi administrator dan mengambil alih kendali sistem yang terdampak.
Dikutip dari The Hacker News, celah ini berasal dari penggunaan generator angka pseudo-acak atau PRNG yang lemah. Rejetto HFS versi 3.0.0 hingga 3.2.0 disebut memperoleh kunci penandatanganan cookie sesi dari generator Math.random() yang bersifat non-kriptografis. Selain itu, keluaran dari generator yang sama juga terekspos kepada klien yang tidak terautentikasi selama proses login.
"Penyerang jarak jauh dapat mengumpulkan sejumlah kecil respons login, merekonstruksi status generator, memulihkan kunci penandatanganan, dan memalsukan cookie sesi administrator yang valid, yang mengarah pada akses administratif penuh dan eksekusi kode jarak jauh melalui fitur konfigurasi server_code," demikian bunyi pemberitahuan terkait celah keamanan tersebut.
Peneliti dari Horizon3.ai, Zach Hanley, dalam unggahan yang diterbitkan pada 30 September 2026, menyebut bahwa model Mythos dari Anthropic digunakan untuk menemukan kerentanan tersebut. Ia menggambarkannya sebagai celah otentikasi yang memfasilitasi eksekusi kode jarak jauh secara sembarangan pada Rejetto HFS.
"API administratif Rejetto HFS memungkinkan adanya endpoint khusus yang dapat mengeksekusi JavaScript sembarang," kata Hanley. "Jika digabungkan, ini menghadirkan jalur yang jelas dari akses tanpa otentikasi ke kontrol administratif, dan pada akhirnya, eksekusi kode jarak jauh."
Patch untuk kerentanan tersebut sebenarnya sudah dirilis pada Juli 2026 dalam versi 3.2.1. Namun, baru pada akhir September sebuah bukti konsep atau PoC eksploitasi berbasis Python dirilis secara publik oleh seorang peneliti keamanan bernama Alejandro Ramos, yang juga dikenal dengan nama aramosf.
"HFS menghasilkan kunci penandatanganan cookie sesi Koa-nya dengan JavaScript Math.random() dan mengekspos output dari PRNG V8 yang sama dalam jabat tangan login SRP yang tidak terautentikasi," kata Ramos. "Penyerang dapat merekonstruksi status PRNG, memulihkan kunci penandatanganan, memalsukan sesi administrator, dan menggunakan fitur konfigurasi server_code yang didokumentasikan untuk mengeksekusi JavaScript sisi server."
Menurut Patrick Garrity dari VulnCheck, upaya eksploitasi mulai terdeteksi pada 1 Oktober 2026, atau sehari setelah Horizon3.ai menerbitkan detail tambahan tentang celah keamanan tersebut. Perusahaan keamanan siber itu menyebut telah mengidentifikasi pelaku ancaman yang tidak disebutkan namanya di Tiongkok, yang menargetkan host rentan di Amerika Serikat.
Perlu diketahui, CVE-2026-61500 merupakan kerentanan kedua di Rejetto HTTP File Server setelah sebelumnya ada CVE-2024-23692 dengan skor CVSS 9.8 yang juga dieksploitasi secara aktif di dunia nyata. Pada Juli 2024, beberapa pelaku ancaman diketahui menggunakan celah tersebut untuk menyebarkan penambang mata uang kripto, trojan, dan malware bernama HATVIBE.
Kasus ini menjadi pengingat penting bagi para pengguna Rejetto HFS agar segera memperbarui perangkat lunak ke versi terbaru, terutama versi 3.2.1 yang sudah menambal celah tersebut. Selain itu, pengelola sistem juga disarankan untuk selalu memantau aktivitas mencurigakan pada server dan tidak menunda pembaruan keamanan. Celah sekecil apa pun bisa menjadi pintu masuk bagi penyerang untuk menguasai sistem secara keseluruhan.
#KeamananSiber #RejettoHFS #CVE202661500 #Kerentanan #RCE #VulnCheck #PatchKeamanan #BeritaTeknologi #CyberSecurity #JavasCorner
