Rejetto HFS 严重 RCE 漏洞 CVE-2026-61500 遭主动扫描

VulnCheck 的 Canary Intelligence 蜜罐观测到针对 Rejetto HFS 漏洞 CVE-2026-61500 的主动探测，活动规模较小，来自单个中国电信 IP，目标为日本和美国的部署。该漏洞源于 3.0.0 至 3.2.0 版本用非加密的 Math.random() 生成会话 cookie 签名密钥并向未认证客户端泄露其输出，攻击者可恢复密钥、伪造管理员会话并借 server_code 功能实现远程代码执行，已在 3.2.1 修复。Horizon3 用 Anthropic 的 Mythos 模型发现该漏洞并于 9 月 30 日公布 PoC，建议升级至 3.2.1 或 3.3.4。