Cybersecurite
Rejetto HFS : une faille trouvée par l'IA exploitée
Découverte par le modèle d'IA Mythos d'Anthropic, la vulnérabilité critique CVE-2026-61500 touchant le serveur Rejetto HFS subit désormais ses premières attaques documentées sur Internet, alertent les équipes de surveillance informatique.
Par Chloé · rédaction IA
Le 2 octobre 2026, l'entreprise VulnCheck a signalé que des attaquants exploitent activement la faille CVE-2026-61500 dans Rejetto HFS, découverte initialement en juin par Horizon3 à l'aide du modèle d'IA Mythos.
L'inversion mathématique d'un générateur pseudo-aléatoire permet à des tiers d'usurper des jetons d'administration et d'exécuter du code arbitraire sur les serveurs non corrigés. Pour les exploitants de cette solution, cela impose d'abandonner immédiatement toute version antérieure à la mouture 3.2.1.
Une faille cryptographique permet le contrôle total
Rejetto HTTP File Server sert au partage direct de fichiers sur le web. Selon le rapport technique publié par Horizon3, l'application dérivait sa clé de signature de cookies depuis la fonction Math.random() du moteur JavaScript V8 au démarrage du processus. Le logiciel transmettait parallèlement des valeurs brutes issues de ce même générateur lors des requêtes d'authentification non validées. En collectant un petit volume de réponses HTTP, un observateur extérieur reconstitue l'état interne de l'algorithme xorshift128+ avec un solveur mathématique. L'assaillant forge ensuite un cookie de session administrateur légitime, puis injecte des commandes JavaScript arbitraires par l'intermédiaire de l'interface d'administration du serveur distant.
L'intelligence artificielle Mythos assemble l'attaque
Les analystes d'Horizon3 ont repéré cette chaîne d'attaque dans le cadre du projet Glasswing, mené avec le modèle Mythos d'Anthropic. L'outil a combiné plusieurs anomalies isolées: la faiblesse de la clé de chiffrement du framework Koa, la fuite de données aléatoires sur l'API de connexion et l'accès direct aux fonctions d'exécution de code serveur. L'IA a rédigé elle-même un script de démonstration fonctionnel appuyé sur le solveur Z3 de Microsoft, calculant l'état de la clé secrète sans recourir à la force brute. L'analyse confirme que la modélisation automatisée réduit le coût technique requis pour exploiter des défauts de conception mathématiques réputés complexes dans les applications libres.
La réécriture du code a déplacé les vulnérabilités
Rejetto HFS utilisait historiquement Delphi pour ses versions 2.X, déjà ciblées par le passé pour une injection de modèle à distance. Le projet a fait le choix d'une refonte intégrale en TypeScript pour sa branche 3.X, mais ce changement d'architecture a introduit un recours imprudent au générateur aléatoire natif de Node.js. Les correctifs de sécurité ont finalement été intégrés le 13 juillet dans la version 3.2.1, disponible sur le dépôt GitHub du projet. Cette mise à jour modifie la gestion des signatures de session afin de neutraliser toute prédiction mathématique des jetons.
Des attaques concrètes ciblent les installations négligées
D'après les informations relayées par SecurityWeek, les premiers signaux d'activité malveillante ont frappé des systèmes sentinelles situés au Japon et aux États-Unis. Ces reconnaissances provenaient d'une adresse IP rattachée à l'opérateur China Telecom. Les opérateurs qui hébergent des partages de fichiers exposés sur Internet doivent vérifier leur journal d'accès pour identifier d'éventuelles requêtes répétées sur les points de connexion d'authentification. L'absence d'intervention expose la totalité des fichiers conservés sur la machine hôte à une prise de contrôle distante sans identifiants valides.
- 9.3 Score de gravité CVSS attribué à la vulnérabilité CVE-2026-61500 VulnCheck 2 octobre 2026
Plusieurs vulnérabilités de sécurité ont été découvertes dans toutes les versions précédentes, permettant potentiellement à un attaquant d'obtenir un accès administratif à HFS.
Le recours aux modèles de langage avancés pour identifier des vulnérabilités aide les chercheurs à sécuriser le code, mais les mêmes capacités d'automatisation permettent aux groupes malveillants d'industrialiser des scénarios d'exploitation autrefois réservés à des experts en cryptographie.
Pour un indépendant ou une petite structure exploitant Rejetto HFS pour partager des documents en ligne, l'application immédiate de la version 3.2.1 est obligatoire sous peine de compromission totale de la machine sans aucune alerte préalable.
Qu'est-ce qui rend la faille CVE-2026-61500 critique ?
Elle permet à un internaute non authentifié de reconstituer la clé de signature du serveur à partir de données publiques, de créer un cookie administrateur et d'exécuter du code à distance.
Comment corriger le problème sur une installation existante ?
Il faut déployer la version 3.2.1 de Rejetto HFS publiée le 13 juillet, qui élimine l'utilisation du générateur aléatoire vulnérable pour la signature des sessions.
- La faille CVE-2026-61500 de Rejetto HFS affiche un score de gravité de 9.3.
- L'IA Mythos d'Anthropic a découvert la vulnérabilité et généré la démonstration d'exploitation.
- Des scans offensifs ont été détectés début octobre 2026 depuis une adresse IP chinoise.