Nova vulnerabilidade crítica no Rejetto HFS é descoberta com auxílio do modelo de IA Mythos, da Anthropic

Uma falha de autenticação no Rejetto HTTP File Server (HFS), um servidor de arquivos web de código aberto, foi recentemente identificada com o uso do modelo de inteligência artificial Mythos, desenvolvido pela Anthropic. A vulnerabilidade, registrada como CVE-2026-61500, permite o bypass de autenticação e execução remota de código, representando um risco crítico para sistemas expostos.

O pesquisador Zach Hanley, da empresa de testes de penetração Horizon3, utilizou o modelo Mythos para identificar a falha. A vulnerabilidade surge devido ao uso de um gerador de números aleatórios inseguro (Math.random()) em conjunto com o framework Node.js Koa e a biblioteca keygrip, que assinam cookies de sessão com o valor gerado. Como o gerador não é criptograficamente seguro, um atacante pode prever ou recuperar a chave de assinatura e forjar sessões válidas.

Logo após a divulgação da CVE, o pesquisador de segurança Patrick Garrity, da VulnCheck, detectou tentativas de exploração em tempo real. Segundo Garrity, as primeiras atividades maliciosas originaram-se de um endereço IP hospedado na China, atingindo servidores vulneráveis localizados nos Estados Unidos e no Japão.

CVE-2026-61500 expõe como falhas aparentemente isoladas podem ser encadeadas para resultados graves. O modelo Mythos não apenas identificou o PRNG inseguro, mas também reconheceu que o aplicativo vazava os valores gerados de Math.random() por meio de outra rota, tornando a recuperação do estado viável.

A recuperação do PRNG foi feita possível com o uso do resolvedor de teorias satisfatíveis Z3, da Microsoft. Hanley destacou que essa abordagem é inédita em ataques reais a falhas criptográficas. A combinação da identificação da vulnerabilidade e do encadeamento lógico foi apontada como uma das principais capacidades do Mythos, especialmente em domínios matemáticos e científicos.

  • CVE: CVE-2026-61500
  • Produto afetado: Rejetto HTTP File Server (HFS)
  • Tipo de falha: Bypass de autenticação e execução remota de código
  • Solução: Atualizar para a versão 3.2.1 ou posterior

A VulnCheck também informou que, até a sexta-feira, outras tentativas de exploração foram registradas com origem em dois IPs hospedados nos Estados Unidos, possivelmente utilizando proxies para ocultar a localização real dos atacantes.

O programa Project Glasswing, iniciativa da Anthropic para compartilhar o modelo Mythos com parceiros de segurança, tem sido responsável pelo mapeamento de centenas de vulnerabilidades. Desde sua anúncia em abril, Mythos e seus colaboradores já identificaram 286 CVEs, com apenas uma exploração ativa anterior a esta semana.

Com informações de: The Register