Von KI entdeckter Authentifizierungs-Bypass in Rejetto HFS zieht Ausnutzungsversuche nach sich

Angreifer begannen am 1. Oktober 2026, eine kritische Authentifizierungs-Bypass-Schwachstelle in Rejetto HTTP File Server (HFS) zu sondieren, einen Tag nachdem Horizon3.ai die technischen Details dazu veröffentlicht hatte. Die als CVE-2026-61500 geführte Schwachstelle hat einen CVSS-Wert von 9,3 und erlaubt es einem entfernten Angreifer, auf einem nicht gepatchten Server eine Administrator-Session zu fälschen und dann Ferncodeausführung zu erreichen. Rejetto lieferte im Juli einen Fix in Version 3.2.1. Ein funktionierender Patch existierte mehr als zwei Monate vor der ersten dokumentierten Sondierung, und genau diese Lücke ist der Teil der Geschichte, den man im Auge behalten sollte.

Zum Weiterlesen: Atlassians CVSS-9,3-Lücke zum Datei-Lesen wird binnen Stunden ausgenutzt · Google schließt CVE-2026-58704, eine aktiv ausgenutzte Zero-Day-Lücke im Pixel-Modem.

Anthropics Mythos-Modell half, den Fehler zu finden. Das macht CVE-2026-61500 zu einem sauberen Beispiel für zwei gleichzeitig ablaufende Entwicklungen: KI-gestützte Schwachstellensuche auf der einen Seite und die langsame, ungleichmäßige Arbeit des Patchings internetnaher Software auf der anderen.

HFS ist ein leichtgewichtiger Open-Source-Dateiserver, den ein Administrator betreibt, um Dateien über HTTP zu übertragen, manchmal auf einer Maschine, die aus dem öffentlichen Internet erreichbar ist. Diese Platzierung macht einen Session-Fälschungsfehler ernst. Ein Angreifer, der in die Administratorrolle gelangt, erhält Kontrolle über die Konfiguration und die Dateioperationen des Servers. Eine bloße Verzeichnisauflistung wäre ein weit kleineres Problem. Die Funktion server_code verwandelt diese Kontrolle in Codeausführung.

Was die Schwachstelle einem Angreifer erlaubt

Der Fehler ist ein Session-Fälschungsproblem mit einem schwachen Zufallszahlengenerator an der Wurzel. Die HFS-Versionen 3.0.0 bis 3.2.0 leiten den Signaturschlüssel für ihre Session-Cookies aus JavaScripts Math.random()-Funktion ab, die nie dafür gebaut war, ein Geheimnis zu wahren. Dieselben Versionen geben während des Login-Vorgangs außerdem Ausgaben dieses Generators an nicht authentifizierte Clients weiter. (GitHub advisory)

Diese beiden Entscheidungen zusammen öffnen die Tür. Ein entfernter Angreifer kann eine kleine Zahl von Login-Antworten sammeln, den internen Zustand des Generators aus den preisgegebenen Werten rekonstruieren, den Cookie-Signaturschlüssel zurückgewinnen und ein gültiges Administrator-Session-Cookie signieren. Ein Diebstahl von Zugangsdaten ist nicht nötig. Math.random() ist ein pseudozufälliger Generator, und pseudozufällige Generatoren sind deterministisch: Ihre Ausgaben sind eine Funktion eines bekannten Algorithmus und eines unbekannten Startwerts, sodass genügend beobachtete Ausgaben den Zustand offenlegen und den Rest vorhersagen können.

Ein Authentifizierungs-Bypass dieser Art ist schwerer abzuwehren als ein schwaches Passwort. Ein Passwortproblem lässt sich mit einem längeren Geheimnis oder einem zweiten Faktor beantworten; hier wird das Geheimnis selbst aus einer vorhersagbaren Quelle abgeleitet, sodass eine Passwortrichtlinie nicht hilft. Der Angreifer muss nie etwas erraten, das ein Verteidiger stärken könnte.

Aus einer Administrator-Session heraus liefert die dokumentierte Funktion server_code den nächsten Schritt. Diese Funktion erlaubt es einem Administrator, eigene Endpunkte zu definieren, die serverseitiges JavaScript ausführen, ein legitimer Weg, HFS zu erweitern, und in diesem Fall eine Route zur Ferncodeausführung für jeden, der eine Admin-Session gefälscht hat. Die Schwachstelle ist im Common Vulnerability Scoring System mit 9,3 bewertet, ein Bereich, der Schwachstellen vorbehalten ist, die aus der Ferne erreichbar sind und zur vollständigen Kompromittierung führen.

Die Grundursache ist ein Fehler, der älter ist als dieser Vorfall und ihn überdauern wird. Node.js liefert crypto.randomBytes() für sicherheitskritische Zufälligkeit, und die übliche Empfehlung für jeden, der HFS-Quellcode anfasst, lautet, Schlüssel mit einem kryptografisch sicheren Generator abzuleiten statt mit Math.random().

Der Fix in Version 3.2.1 schließt das Loch für HFS. Derselbe Fehler lohnt sich auch anderswo zu prüfen: Code, der zu Math.random() greift, um ein Token, einen Schlüssel oder eine Session-ID zu bilden, trägt dieselbe Klasse von Schwachstelle.

Das Modell, das sie fand

Der Horizon3.ai-Forscher Zach Hanley erklärte in einer am 30. September 2026 veröffentlichten Offenlegung, Anthropics Mythos-Modell habe die Schwachstelle gefunden, im Rahmen von Project Glasswing, Anthropics Vorhaben, Frontier-KI einzusetzen, um Schwachstellen in kritischer Software zu finden und zu beheben. Security Affairs berichtete, die Schwachstelle sei am 13. Juli 2026 über die VulnCheck-CNA veröffentlicht worden. TechTimes berichtete, der Signaturschlüssel sei mithilfe des Z3-Solvers zurückgewonnen worden. (Horizon3.ai disclosure, Security Affairs)

Z3 ist ein Allzweck-Solver, der in der Programmanalyse eingesetzt wird. Wendet man ihn auf die Ausgabe des Generators an, wird die Zustandsrekonstruktion zu einem lösbaren Problem. Project Glasswing, Anthropics Programm, um Frontier-Modelle auf kritische Software zu richten, ist der Rahmen des Funds. Das Versprechen hinter solchen Programmen ist einfach: Ein Modell kann mehr Code lesen als ein Prüfteam und wird nicht müde. Ob daraus ein stetiger Strom behobener Schwachstellen hoher Schwere entsteht, ist eine separate Frage, und VulnChecks Zählungen sind eine der wenigen öffentlichen Möglichkeiten, sie zu prüfen.

Der KI-Aspekt lädt zu einer größeren Behauptung ein, als die Belege tragen. VulnCheck hat 75 CVEs gezählt, die „Anthropic“ erwähnen, 40 davon Anthropic-Forschern zugeschrieben und nur einer ausdrücklich Glasswing zugeordnet. Das sind VulnChecks Zählungen, und sie werden sich verschieben, wenn weitere Offenlegungen eingereicht werden. Ein einzelner zugeschriebener Fund ist ein echtes Ergebnis. Es ist noch keine Erfolgsbilanz und zeigt für sich genommen nicht, dass KI verändert hat, wie schnell kritische Fehler gefunden werden.

Warum ein Juli-Fix die Sondierung im Oktober nicht verhinderte

Das Fenster zwischen dem Patch und den ersten Ausnutzungsversuchen ist der Punkt, an dem der Vorfall unangenehm wird. Rejetto lieferte den Fix im Juli 2026 in Version 3.2.1, und Security Affairs berichtete, die Schwachstelle sei am 13. Juli über die VulnCheck-CNA veröffentlicht worden. Öffentliche Ausnutzungshilfe kam Ende September, als der Sicherheitsforscher Alejandro Ramos, bekannt als aramosf, einen Python-Proof-of-Concept veröffentlichte. (aramosf proof-of-concept)

Diese Abfolge ist für internetnahe Software Routine. Ein Fix existiert, doch ein Betreiber muss ihn anwenden. Offenlegung und ein funktionierender Proof-of-Concept senken die Fähigkeiten, die für einen Angriff nötig sind, und ein gepatchter Server bleibt sicher, während ein ungepatchter mit jeder Woche leichter zu treffen ist. Weil ein Proof-of-Concept vor der ersten dokumentierten Sondierung erschien, war das Werkzeug zur Ausnutzung der Schwachstelle öffentlich, bevor die Versuche begannen.

Die Daten beschreiben keinen Fehler bei der koordinierten Offenlegung. Die Schwachstelle wurde im Juli über eine CVE-Nummerierungsstelle veröffentlicht, im selben Monat, in dem der Fix erschien, und Horizon3s technische Analyse folgte Ende September. Was sich Anfang Oktober änderte, war die Reichweite: Eine öffentliche Analyse und ein funktionierender Proof-of-Concept ließen eine viel größere Gruppe von Menschen die Schwachstelle ausprobieren.

Was VulnCheck tatsächlich gesehen hat

Die Ausnutzungstelemetrie stammt von VulnCheck, und ihr Ausmaß sollte in Proportion bleiben. Das Unternehmen entdeckte am 1. Oktober 2026 Ausnutzungsversuche, einen Tag nachdem Horizon3 weitere Details veröffentlicht hatte, und nahm CVE-2026-61500 in seine eigene Liste bekanntermaßen ausgenutzter Lücken auf. VulnChecks Caitlin Condon sagte, die Aktivität habe bislang nach Aufklärung in kleinem Maßstab ausgesehen. Eine einzelne China-Telecom-IP-Adresse sondierte Canary-Deployments in Japan und den Vereinigten Staaten. Der Dienst Target Intelligence von VulnCheck identifizierte rund 100 im Internet erreichbare HFS-Instanzen. (The Hacker News)

VulnChecks Canary-Deployments sind Köder, die das Unternehmen betreibt, um Angriffe zu beobachten, die Systeme in seinem Bericht sind also Köder und keine Kundenserver. Die Zahl von rund 100 stammt aus dem Scan von Target Intelligence und zählt internetnahe Instanzen, nicht bestätigt verwundbare.

Diese Zahlen beschreiben Tests und nicht eine Welle kompromittierter Server. Aufklärung kann die erste Phase eines Angriffs sein, und eine Schwachstelle, die vollständigen administrativen Zugriff liefert, sollte man nicht offen liegen lassen. Doch die zutreffende Bezeichnung für das, was VulnCheck Anfang Oktober beobachtete, ist Sondierung. Rund 100 erreichbare Instanzen sind eine kleine Population, und Canary-Deployments sind Köder und keine Produktivsysteme, sodass eine einzelne Quelladresse, die auf sie trifft, eher nach einem Scan als nach einer Kampagne klingt.

Es ist zudem das zweite Mal, dass HFS Angreifer anzieht. CVE-2024-23692, eine mit 9,8 bewertete Schwachstelle, wurde im Juli 2024 weaponisiert, um Kryptominer, Trojaner und Malware zu verteilen, die Forscher HATVIBE nannten. Die Wiederholung legt nahe, dass der Pool exponierter HFS-Server, der vor zwei Jahren Angreifer anzog, weiterhin erreichbar ist.

Die KI-Entdeckung fügt eine neuere Wendung hinzu, und sie wirkt in beide Richtungen. Ein Modell, das Code liest und einen Schlüsselableitungsfehler erkennt, kann einen Fehler schneller finden, als Verteidiger es vielleicht tun. Dieselbe Veröffentlichungspipeline speist dann öffentliche Warnhinweise und Proof-of-Concepts, was die Zeit verkürzt, die Angreifer brauchen, um alles Ungepatchte auszunutzen. Entdeckungsgeschwindigkeit und Patch-Geschwindigkeit sind unterschiedliche Probleme. Nur eines davon hat sich hier verbessert.

Einschränkungen

Die Ausnutzungszahlen stammen aus VulnChecks Telemetrie und nicht von Rejetto oder Anthropic, und sie beschreiben, was ein einzelnes Überwachungsnetzwerk gesehen hat. Die Zählungen von 75 CVEs und einem einzigen Glasswing-Fall sind VulnChecks Erhebungen und werden sich ändern. Horizon3s Darstellung, Mythos habe die Schwachstelle gefunden, stammt aus der eigenen Offenlegung des Unternehmens, und eine unabhängige Überprüfung des Beitrags eines Modells zu einer konkreten Entdeckung ist schwierig; Anthropic hat keine vollständige Liste der Glasswing-Ergebnisse veröffentlicht.

Ebenso unklar ist, wie viele der rund 100 internetnahen Instanzen eine verwundbare Version ausführen, wie viele seit Juli gepatcht wurden und ob eine der Sondierungen zu einem erfolgreichen Eindringen führte. VulnChecks Beschreibung deutet auf Aufklärung, und keine Quelle in dieser Geschichte berichtet von einer bestätigten Kompromittierung eines namentlich genannten Opfers.

VulnChecks Telemetrie zeigt Aufklärung in kleinem Maßstab, eine einzelne Quell-IP, die Canary-Köder sondiert, und rund 100 internetnahe Instanzen, eine niedrige Basis für eine Massenkampagne.

Was zu beobachten ist

Drei Dinge werden zeigen, ob dies eine Sondierungsgeschichte bleibt. Erstens, ob VulnCheck oder andere Überwachungsnetzwerke zusätzliche Quelladressen oder erfolgreiche Eindringversuche melden, was die Aktivität von Aufklärung zu Ausnutzung verschieben würde. Zweitens, ob HFS-Betreiber aktualisieren, da eine exponierte und ungepatchte Instanz die Schwachstelle nutzbar hält, egal wie der Fehler gefunden wurde. Drittens, ob Project Glasswing mehr zugeschriebene Funde hervorbringt, was ein einzelnes Beispiel in einen Beleg dafür verwandeln würde, wie stark KI die Schwachstellenforschung verändert.

Die Schwachstelle selbst ist unspektakulär: ein Sicherheitsschlüssel, gebaut aus einem Generator, der nie ein Geheimnis wahren sollte. Was CVE-2026-61500 verfolgenswert macht, ist der Zeitpunkt. Ein KI-Modell fand sie, Entwickler behoben sie im Juli, und Angreifer begannen erst im Oktober, sie zu testen, nachdem Details und ein Proof-of-Concept draußen waren.

Bildnachweis: rejetto, Wikimedia Commons, CC BY-SA 3.0.