CVE-2026-61500 en Rejetto HFS: lecciones para blindar tus servidores

Un fallo crítico en Rejetto HFS pone en jaque la seguridad de los servidores de archivosLa comunidad de administradores de sistemas está en alerta tra...

Un fallo crítico en Rejetto HFS pone en jaque la seguridad de los servidores de archivos

La comunidad de administradores de sistemas está en alerta tras la divulgación de una vulnerabilidad crítica en Rejetto HTTP File Server (HFS), un servidor de archivos ligero muy utilizado para compartir documentos de forma rápida. El fallo, catalogado como CVE-2026-61500, permite a un atacante remoto no autenticado falsificar una cookie de sesión y hacerse pasar por administrador, lo que en última instancia conduce a la ejecución remota de código (RCE). La gravedad es máxima: CVSS 4.0 de 9.3 y CVSS 3.1 de 9.8, con un vector de ataque que no requiere credenciales previas.

El origen del problema es un error de diseño en la generación de la clave que firma la cookie de sesión. En lugar de emplear un generador criptográficamente seguro, HFS utiliza Math.random(), un generador pseudoaleatorio pensado para usos no críticos. Durante el proceso de inicio de sesión, el software expone suficientes salidas de ese generador como para que un atacante pueda reconstruir su estado interno y, con ello, predecir la clave de firmado. Una vez que el atacante forja una sesión válida con privilegios administrativos, puede abusar de la funcionalidad server_code para ejecutar código en el servidor. El resultado es un escenario de compromiso total.

Las versiones afectadas abarcan desde HFS 3.0.0 hasta 3.2.0, ambas incluidas. El fabricante ha publicado la versión 3.2.1, que corrige la vulnerabilidad. La explotación ya se ha observado en ataques reales: a finales de septiembre circuló una prueba de concepto en Python que reduce la barrera para atacantes oportunistas, y el 1 de octubre de 2026 se detectaron intentos contra sistemas expuestos en Estados Unidos, atribuidos a un actor no identificado con base en China. Aunque los incidentes confirmados se han dado fuera de España, cualquier instancia de HFS accesible desde Internet es un objetivo potencial, incluidas las de empresas catalanas y del resto del Estado.

¿Por qué este fallo debería preocupar a las pymes y proveedores de hosting?

La popularidad de HFS radica en su sencillez: es ideal para compartir archivos temporalmente sin una infraestructura compleja. Precisamente esa simplicidad lleva a muchos administradores a desplegarlo en servidores con exposición directa a Internet, a menudo sin segmentación ni monitorización adecuada. En el tejido empresarial español, donde abundan las pymes con recursos limitados de TI, este tipo de soluciones se adoptan con frecuencia para transferencias internas o con clientes. El problema es que una vulnerabilidad como CVE-2026-61500 convierte ese servidor en una puerta de entrada al resto de la red corporativa.

Para las empresas de hosting, el riesgo se multiplica: un solo servidor comprometido puede servir de plataforma para atacar a otros clientes alojados en la misma infraestructura. La falsificación de sesión de administrador no solo permite ejecutar código, sino también modificar configuraciones de forma persistente, lo que dificulta la detección posterior. Si el atacante logra acceso, puede instalar puertas traseras, exfiltrar datos o utilizar el servidor como parte de una botnet. La ventana de exposición se amplía si no se localizan rápidamente todas las instancias desplegadas, algo habitual en entornos donde se han ido acumulando servidores sin un inventario centralizado.

Medidas inmediatas: actualizar, restringir y auditar

La primera acción es actualizar a Rejetto HFS 3.2.1 o superior. Si no es posible aplicar el parche de inmediato, deben tomarse medidas de contención. Estas son las recomendaciones clave:

Actualizar sin demora todas las instancias de HFS, priorizando las que estén expuestas a Internet. Verificar la versión exacta y confirmar que no queden restos de versiones anteriores.
Restringir el acceso a la interfaz de administración y a la API a redes de confianza. Utilizar reglas de firewall para limitar las direcciones IP autorizadas y evitar la exposición pública del panel.
Segmentar la red para que un servidor de archivos comprometido no tenga acceso directo a sistemas críticos. Aplicar el principio de mínimo privilegio.
Revisar registros en busca de actividad sospechosa, especialmente intentos de autenticación anómalos y llamadas a endpoints sensibles como get_config y set_config.
Rotar credenciales y comprobar la integridad del sistema si se sospecha un compromiso. No basta con parchear: hay que analizar posibles modificaciones persistentes.
Considerar claves de firmado robustas mediante COOKIE_SIGN_KEYS como medida temporal, aunque nunca como sustituto de la actualización.

Más allá de la reacción inmediata, este incidente subraya la necesidad de una estrategia de seguridad proactiva. La gestión manual de la seguridad en múltiples servidores es insostenible: requiere tiempo, consistencia y visibilidad centralizada. Herramientas como fail2ban ayudan a bloquear IPs maliciosas, pero configurarlas y mantenerlas en cada máquina por separado es un lastre para cualquier equipo. Además, la reputación de una IP puede verse dañada si un servidor comprometido empieza a enviar spam o a participar en ataques, lo que afecta a la entregabilidad del correo y a la confianza de los clientes.

Abuse Shield: protección centralizada para tus servidores

En ALMC.es hemos desarrollado Abuse Shield, un servicio que centraliza la protección de tus servidores y simplifica la gestión de la seguridad. Con Abuse Shield puedes bloquear automáticamente IPs maliciosas, gestionar fail2ban en múltiples máquinas desde un único panel y compartir un feed de reputación entre todos tus servidores. Esto significa que si una IP ataca uno de tus servidores, el resto de la infraestructura aprende y la bloquea de inmediato, sin intervención manual.

Abuse Shield está pensado para administradores de sistemas, empresas de hosting y pymes con servidores propios que necesitan una capa adicional de defensa sin complicaciones. Al centralizar la gestión, se reduce el riesgo de configuraciones dispares y se gana en capacidad de respuesta ante incidentes como el de Rejetto HFS. La seguridad de servidores no puede depender de parches puntuales; requiere un enfoque continuo que combine actualizaciones, monitorización y bloqueo proactivo. Con Abuse Shield, tu equipo puede centrarse en lo importante mientras la infraestructura se protege de forma coordinada.

La lección de CVE-2026-61500 es clara: la seguridad de los servidores es un proceso, no un evento. Actualizar es imprescindible, pero no suficiente. Adoptar medidas como las que ofrece Abuse Shield marca la diferencia entre reaccionar a un incidente y prevenirlo.

Relacionado

¿Tus servidores bajo ataque constante?

Centraliza fail2ban y la reputación de IPs en todos tus servidores. Descubre Abuse Shield de ALMC. Contáctanos para una demo personalizada.

Resultados sin salir de la página.