Als Forscher erläuterten, wie Anthropics Mythos beim Aufbau einer vollständigen Angriffskette geholfen hatte, war die kritische Schwachstelle im HTTP File Server von Rejetto bereits behoben. Version 3.2.1 erschien am 13. Juli 2026, Horizon3 veröffentlichte die technische Analyse am 30. September, und VulnCheck beobachtete am 1. Oktober Ausnutzungsversuche. Entscheidend ist nicht ein Tag ohne verfügbaren Patch, sondern ein Zeitraum von mehr als zwei Monaten, in dem manche erreichbaren Installationen offenbar ungeschützt blieben.
CVE-2026-61500 betrifft HFS 3.0.0 bis 3.2.0. Horizon3 zufolge verband die KI-gestützte Untersuchung vorhersagbare Zufallszahlen, sichtbare Anmeldewerte und signierte Sitzungscookies mit Codeausführung unter Administratorrechten. Das ist ein bedeutsames Forschungsbeispiel, aber weder ein Beweis universellen autonomen Hackings noch eine Messung weltweiter Infektionen.
Ein rekonstruierbarer Signaturschlüssel
HFS teilt Dateien über einen Webserver. Der mit TypeScript neu geschriebene 3.x-Zweig läuft auf Node.js und nutzt Koa; die ältere 2.x-Software verwendete Delphi. Betroffene Versionen erzeugten den standardmäßigen Cookie-Signaturschlüssel mit JavaScripts Math.random(). Das ist ein allgemeiner Pseudozufallszahlengenerator, keine kryptografisch sichere Quelle.
Ein signiertes Cookie schützt die Integrität nur, solange sein Schlüssel geheim und unvorhersagbar bleibt. Zugleich gab ein nicht authentifizierter Anmeldeablauf vollständige Ausgabewerte desselben Generators preis. Sie waren nicht unabhängig von den beim Start erzeugten Schlüsselwerten: Ein Pseudozufallsgenerator folgt aus seinem inneren Zustand einer deterministischen Folge.
Laut Horizon3 erkannte ein spezialisierter Kryptografie-Agent drei Zufallsaufrufe für den Startschlüssel und verknüpfte die sichtbaren Werte mit V8s xorshift128+-Implementierung. Deren umkehrbarer Zustand ließ sich bei genügend korrelierten Beobachtungen rückwärts rekonstruieren. Umkehrbarkeit allein macht nicht jede Anwendung angreifbar; HFS lieferte zusätzlich die Beobachtungen und ihre Beziehung zum Geheimnis.
Im demonstrierten Fall dienten zwölf Beobachtungen und Microsofts SMT-Solver Z3 dazu, einen Zustand zu bestimmen, der die mathematischen Bedingungen erfüllt. Mit einem vorhandenen Cookie und dessen Nachrichtenauthentifizierungscode ließen sich Schlüsselkandidaten offline prüfen. Es ging um mathematische Rekonstruktion, nicht wiederholtes Online-Raten von Passwörtern. Das Cookie war signiert, aber nicht verschlüsselt; Clients konnten ihre eigenen Sitzungsdaten lesen.
Der rekonstruierte Schlüssel erlaubte ein Cookie, das Administratoridentität behauptete und trotzdem eine gültige Signatur trug. Die beschriebene Kette prüfte das Vorhandensein des eingebauten Administratorkontos. Nach Annahme dieser Sitzung führte die legitime HFS-Funktion für eigenen serverseitigen JavaScript-Code zur Ausführung beliebiger Befehle. Privilegierte Funktionalität wurde durch gefälschte Identität erreicht, nicht bloß ein Parser mit fehlerhafter Eingabe ausgetrickst.
Die Korrektur verändert beide Seiten: kryptografisch sichere Zufallsbytes für den Signaturschlüssel und eine zufällige UUID für die sichtbare Anmeldekennung. Ein ausdrücklich gesetzter starker Schlüssel kann einen Teil der Kette entschärfen, ersetzt aber nicht das Update auf 3.2.1 oder eine neuere stabile Version.
Welchen Beitrag die KI tatsächlich leistete
Scanner konnten schon zuvor Math.random() in der Nähe von Authentifizierungscode beanstanden. Schwieriger war die Verbindung zu beobachtbaren Ausgaben, dem genauen Sitzungsformat, rekonstruiertem Schlüsselmaterial und einer folgenreichen privilegierten Operation. Jeder Schritt erhöht Unsicherheit und Spezialaufwand, bis weitere Untersuchung wirtschaftlich unattraktiv werden kann.
Horizon3 berichtet, Mythos habe die Schritte über Dateien, Framework-Verhalten und die Mathematik des Generators hinweg verbunden und einen funktionierenden Machbarkeitsnachweis mit Befehlsausführung auf dem Host erstellt. Menschliche Forscher prüften und reproduzierten das Ergebnis vor der Offenlegung. Ein funktionierender Exploit macht die Priorisierung greifbarer als ein unerklärter Absturz oder eine verdächtige Codezeile.
Es war ein Fall aus Project Glasswing mit einem eigenen Harness und parallel arbeitenden spezialisierten Agenten. Menschen wählten das Ziel, gestalteten die Untersuchung, validierten Ergebnisse und koordinierten die Meldung. Kein gewöhnlicher Verbraucher-Chatbot kompromittierte ohne Unterstützung augenblicklich ein beliebiges Repository.
Auch Anthropics Fähigkeitsbericht betont vollständige Ausnutzung als Wirkungsnachweis. Die mögliche Veränderung ist ökonomisch: Untersuchungen, die zuvor ungewöhnlich teure kryptografische Expertise erforderten, könnten sich lohnen. Die einzelnen Bestandteile waren bekannt; wertvoll war ihre Zusammenführung zu einer verifizierten Kette.
Die öffentliche Fallstudie liefert jedoch nicht den Nenner für allgemeine Produktivitätsaussagen. Gesamtrechenaufwand, erfolglose Läufe, Fehlalarme und verworfene Befunde bleiben wesentliche Unbekannte. Ein außergewöhnlicher Erfolg zeigt weder die Zuverlässigkeit bei kritischen Fehlern noch die Kosteneignung für ein größeres Forschungsprogramm.
Versuche nach der Offenlegung sind keine Infektionsstatistik
Zwischen dem Patch vom 13. Juli und der Erklärung vom 30. September lagen mehr als zwei Monate. VulnChecks Beobachtungen vom 1. Oktober betreffen deshalb Systeme, für die bereits eine Korrektur existierte, nicht eine neue Lücke ohne Gegenmaßnahme für Administratoren.
Erster gemeldeter Verkehr nutzte in China gehostete Infrastruktur gegen US-Systeme. Spätere Anfragen kamen von zwei US-Adressen im selben Subnetz, offenbar Proxys; auch Ziele in Japan wurden gemeldet. Der Hostingstandort identifiziert weder die Betreiber noch eine staatliche Unterstützung.
Die Erkennung belegt Ausnutzungsversuche, nicht die Zahl der Systeme, die eine gefälschte Administratorsitzung oder Befehle akzeptierten. Sie trägt weder eine weltweite Kompromittierungsschätzung noch die Behauptung einer großen dauerhaften Kampagne. Nachgelagerte Schadprogramme und bestätigte Opfer würden die Bewertung wesentlich verändern.
Auch der Abstand von ungefähr einem Tag beweist weder KI-Nutzung durch die Angreifer noch die unabhängige Lösung sämtlicher mathematischer Schritte über Nacht. Sie könnten veröffentlichtes Material angepasst, früher gearbeitet oder andere Informationen genutzt haben. Scanner, Patchvergleiche, Exploit-Frameworks und menschliches Reverse Engineering ermöglichten schon zuvor schnelle Wiederverwendung.
Anthropics koordinierte Offenlegungsrichtlinie sieht im Allgemeinen eine Benachrichtigung der Entwickler, menschliche Prüfung und eine Frist von 90 Tagen vor; vollständige technische Details werden normalerweise erst 45 Tage nach einem Patch veröffentlicht. Hier war der Abstand länger. Ein Puffer schafft Gelegenheit zum Aktualisieren, garantiert aber keine vollständige Erfassung betroffener Dienste.
Die Uhr endet bei der überprüften Installation
Leichte Dateiserver können der üblichen Inventarisierung und Zuständigkeit entgehen: Ein temporärer Transferdienst bleibt bestehen, ein alter Container wird festgeschrieben oder eine vergessene Portweiterleitung hält den Host erreichbar. Wenige Nutzer machen nicht authentifizierte Codeausführung als Einstiegspunkt nicht weniger nützlich.
Wichtig ist die Zeit vom verfügbaren Fix bis zur Aktualisierung, Isolation oder Entfernung sämtlicher exponierter verwundbarer Instanzen, nicht das Zuweisungsdatum eines Patchtickets. Inventare, Containerregister, Endgeräte, Cloud-Workloads und öffentlich erreichbare Dienste zählen. Die Kontrolle muss feststellen, welche Binärdatei oder welches Image tatsächlich Anfragen beantwortet.
Versionsunterschiede sind entscheidend. CVE-2024-23692, eine 2024 in CISAs Katalog bekannter ausgenutzter Schwachstellen aufgenommene frühere HFS-Lücke, betraf die andere 2.x-Codebasis. Sie ist nicht diese kryptografische Kette und bedeutet nicht, dass jede HFS-Installation kompromittiert ist.
VPNs, Zulassungslisten oder authentifizierte Gateways reduzieren unnötige Exposition bei begrenztem Nutzerkreis, ersetzen aber kein Upgrade. Ein vertrauenswürdiges Endgerät kann kompromittiert werden, eine Konfiguration sich ändern und eine angenommene Grenze versagen.
Protokolle um und nach dem 30. September sollten auf wiederholte Authentifizierungsaktivität, unerwartete Administratorsitzungen, Konfigurationsänderungen und fremden serverseitigen Code geprüft werden. Das sind Untersuchungsansätze, keine universell eindeutigen Indikatoren. Bei bestätigter Kompromittierung beseitigt ein Upgrade allein keine mögliche Persistenz in Konten, geplanten Aufgaben, Startskripten oder anderen Diensten. Isolation, Beweissicherung, Austausch relevanter Zugangsdaten, Prüfung verbundener Ressourcen und gegebenenfalls Neuaufbau bleiben erforderlich.
Bessere Entdeckung muss in Behebung münden
Für Entwickler geht die Lehre über einen Funktionsaufruf hinaus. Allgemeine Pseudozufallsgeneratoren sollten keine Authentifizierungsgeheimnisse, Rücksetztoken, kryptografischen Nonces oder sicherheitsrelevanten Sitzungskennungen erzeugen. Prüfung muss gemeinsamen Zustand und korrelierte Ausgabelecks verfolgen: Signatur-Middleware macht einen vorhersagbaren Eingangsschlüssel nicht sicher.
KI kann dateiübergreifende Beziehungen und den Weg von theoretischen Schwächen zu realen Privilegien untersuchen. Menschen müssen weiterhin betroffene Versionen, Umgebungsannahmen und die Übertragbarkeit eines Harness-Nachweises auf produktive Systeme prüfen.
Drei Entwicklungen werden den größeren Effekt verdeutlichen: Werden aus Sondierungen dauerhafte Angriffe mit Folge-Payloads? Verschwinden exponierte betroffene Versionen? Bleiben spätere Glasswing-Berichte reproduzierbar, relevant und für Entwickler bewältigbar, statt eine Flut wenig wertvoller Meldungen zu bilden?
HFS stützt eine engere, aber wichtige Schlussfolgerung: Ein KI-gestütztes Forschungssystem half Spezialisten, einen ungewöhnlichen vollständigen Exploit nachzuweisen. Der defensive Nutzen hängt letztlich davon ab, ob Entwickler den Befund bearbeiten und Betreiber einen verfügbaren Fix in überprüften Schutz übersetzen.
Quellen
Technische Analyse von Horizon3 · HFS 3.2.1 · Mythos-Fähigkeitsbericht · Beobachteter Angriffsverkehr · Offenlegungsrichtlinie · Frühere HFS-Schwachstelle · Ursprünglicher Nachrichteneintrag