ช่องโหว่ Rejetto HFS CVE-2026-61500 ถูกสแกนโจมตีจริงแล้ว — คีย์เซสชันสร้างจาก Math.random() ทำให้ปลอมคุกกี้แอดมินและรันโค้ดได้โดยไม่ต้องล็อกอิน
บริษัท VulnCheck พบความพยายามโจมตีช่องโหว่ CVE-2026-61500 (CVSS 9.3) ใน Rejetto HTTP File Server เวอร์ชัน 3.0.0 ถึง 3.2.0 แล้ว ช่องโหว่เกิดจากการสร้างคีย์ลงนามคุกกี้เซสชันด้วย Math.random() ซึ่งไม่ปลอดภัยเชิงการเข้ารหัส ผู้โจมตีกู้คีย์จากการตอบกลับตอนล็อกอินเพียงไม่กี่ครั้ง แล้วปลอมเซสชันผู้ดูแลระบบเพื่อรัน JavaScript ฝั่งเซิร์ฟเวอร์ได้ แพตช์ออกในเวอร์ชัน 3.2.1 ตั้งแต่กรกฎาคม แต่ PoC สาธารณะเพิ่งปรากฏปลายกันยายน กิจกรรมที่พบยังเป็นการสอดแนมขนาดเล็กจาก IP เดียวในจีน