AnthropicのMythosが完全な攻撃経路の実証をどう支援したかを研究者が説明した時点で、RejettoはHTTP File Serverの重大な欠陥を既に修正していた。3.2.1は2026年7月13日、Horizon3の技術分析は9月30日、VulnCheckによる悪用試行の観測は10月1日だった。重要なのは修正がない1日ではなく、修正から2カ月以上たっても一部の公開環境が保護されていなかったとみられることだ。
CVE-2026-61500はHFS 3.0.0～3.2.0に影響する。Horizon3によれば、AIを使った調査は予測可能な乱数、ログイン時に見える値、署名付きセッションCookieを管理者権限でのコード実行へと結び付けた。重要な研究能力の事例だが、万能な自律ハッキングや世界規模の感染数を示すものではない。
復元できてしまう署名鍵
HFSはWebサーバーでファイルを共有する。3.xはTypeScriptによる書き直しで、Node.jsとKoaを利用する。旧2.xはDelphi製だった。影響を受ける版は、標準のCookie署名鍵をJavaScriptのMath.random()で生成した。これは汎用の疑似乱数生成器であり、暗号学的に安全な乱数源ではない。
署名Cookieの完全性は、鍵が秘密で予測不能であることに依存する。一方、HFSの認証不要のログイン処理は、同じ生成器の全精度の出力を外部に見せていた。これらは起動時の鍵生成に使われた値と無関係ではない。疑似乱数生成器は内部状態から決定論的な列を作るからだ。
Horizon3によると、暗号解析を担当する専門エージェントは起動時の鍵に3回の乱数出力が使われることを把握し、外部に見える値をV8のxorshift128+実装に結び付けた。十分な相関のある観測があれば、可逆な内部状態を過去へたどれる。ただし可逆性だけで全アプリが脆弱になるわけではない。HFSには観測値と秘密を結ぶ関係も存在した。
実証では12回の観測と、Microsoftの充足可能性モジュロ理論ソルバーZ3を使い、制約に合う状態を復元した。既存のCookieとそのメッセージ認証コードにより、候補鍵をオフラインで検証できた。これはオンラインでパスワードを繰り返し推測する攻撃ではなく、数学的な状態復元だ。Cookieは署名されているが暗号化されておらず、クライアントは自分のセッション内容を読めた。
復元した鍵があれば、管理者を名乗りながら正しい署名を持つCookieを作れる。報告された経路は組み込み管理者アカウントの存在を確認していた。管理者セッションが受理されると、HFSの正規機能であるカスタムのサーバー側JavaScriptから任意コマンドの実行に至る。単に不正形式の入力でパーサーを壊すのではなく、身元偽装で特権機能に到達する構造だった。
修正は両側を変える。署名鍵には暗号学的に安全なランダムバイトを、外部に見えるログイン識別子にはランダムUUIDを使う。強力な鍵を明示設定すれば経路の一部を緩和できるが、3.2.1以降の安定版への更新の代わりにはならない。
AIは何を担ったのか
認証コード付近のMath.random()をスキャナーが警告すること自体は新しくない。難しいのは、その警告を観測可能な出力、正確なセッション形式、復元した鍵、実際に影響のある特権操作へ結び付けることだ。段階ごとに不確実性と専門的な作業が増え、調査を続ける採算が合わなくなる場合がある。
Horizon3は、Mythosがファイル、フレームワークの挙動、生成器の数学的性質を横断して関連を見つけ、ホスト上のコマンド実行を示す概念実証を作ったと報告する。公開前に人間の研究者が確認・再現した。原因不明のクラッシュや怪しい1行より、機能する攻撃の方が対応優先度を判断しやすい。
これはProject Glasswingの事例であり、専門エージェントを並列稼働させる独自ハーネスを使っていた。人間が対象を選び、調査を設計し、結果を検証し、報告を調整した。普通の消費者向けチャットボットが、任意のリポジトリを無支援で瞬時に侵害したわけではない。
Anthropicの能力報告も、影響の証拠として完全な悪用実証を重視する。変わり得るのは経済性だ。従来は高価な暗号専門知識を必要とした調査が、実施に値するものになる可能性がある。個々の要素は既知でも、検証済みの連鎖へ統合したことに価値がある。
公開事例には一般的な生産性を測る分母がない。総計算量、失敗した実行、誤検出、破棄した発見は不明点として残る。例外的な1件の成功だけでは、重大な脆弱性を安定して発見できる頻度や、大規模な研究でのコスト妥当性は分からない。
公開後の試行と感染件数は別である
7月13日の修正は9月30日の技術説明より2カ月以上早かった。つまり10月1日の観測は、修正が既に提供されていたシステムへの攻撃であり、管理者に対策がない新規公開脆弱性ではない。
初期通信は中国にホストされた基盤から米国のシステムを狙ったと報じられた。その後は、同一サブネットに属する米国の2アドレスから要求があり、プロキシとみられた。日本のシステムへの標的化も報告された。ホストの地理的位置から操作者を特定したり、国家の支援を認定したりはできない。
検知が示すのは悪用の試みであり、偽造管理者セッションを受理した数やコマンドを実行した数ではない。世界の侵害数の推計や、大規模で持続的な作戦の断定には足りない。侵害後のペイロードや被害者確認の証拠があれば評価は変わる。
約1日の間隔も、攻撃者がAIを使ったことや、一晩で全数学手順を独自に解いたことを証明しない。公開資料の応用、先行調査、別の情報の利用もあり得る。スキャナー、パッチ差分解析、攻撃フレームワーク、人間のリバースエンジニアリングは以前から迅速な再利用を可能にしていた。
Anthropicの協調的開示方針は通常、保守者への通知、人間の審査、90日の開示期間を設け、完全な技術詳細はパッチ後45日まで待つとしている。本件の間隔はそれより長い。猶予は更新の機会を与えるが、全対象サービスが発見済みであるとは保証できない。
時計を止めるのは導入確認
軽量ファイルサーバーは通常の資産管理や担当者管理から漏れやすい。一時的な転送サービスが残り、古いコンテナが固定され、忘れたポート転送が公開を続ける。利用者が少なくても、認証不要のコード実行は侵入口として有用だ。
意味のある指標は修正提供から、公開された脆弱な全インスタンスが更新・隔離・撤去されるまでの時間だ。チケットの割り当て日ではない。台帳、コンテナレジストリ、端末、クラウド負荷、外部到達可能なサービスを調べ、要求に実際に応答するバイナリーやイメージを確認する必要がある。
版の区別も不可欠だ。2024年にCISAの既知悪用脆弱性カタログへ加わったCVE-2024-23692は、別の2.xコードベースに影響した。本件の暗号学的連鎖とは異なり、全HFS環境の侵害を意味しない。
限定利用の環境ならVPN、許可リスト、認証ゲートウェイで不要な公開を減らせるが、更新の代替ではない。信頼する端末の侵害、設定変更、想定した境界の破綻は起こり得る。
9月30日前後以降のログでは、繰り返される認証操作、不審な管理者セッション、設定変更、見慣れないサーバー側コードを調べる価値がある。ただし普遍的で確定的な指標ではない。侵害確認済みのホストは、更新だけではアカウント、タスク、起動スクリプト、別サービスの永続化を除去できない。隔離、証拠保全、認証情報の更新、接続先の評価、完全性を確かめられない場合の再構築が必要になり得る。
発見を修復へつなぐ
開発者への教訓は単一の関数を超える。汎用疑似乱数生成器を認証秘密、リセットトークン、暗号ノンス、セキュリティ上重要なセッション識別子に使うべきではない。共有状態と相関出力の漏えいまで追跡しなければならず、署名ミドルウェアは予測可能な鍵を安全にはできない。
AIはファイルをまたぐ関係や、理論的な弱点が実際の特権に届くかの検証を支援できる。ただし人間は影響版、環境条件、ハーネスでの実証が本番環境にも当てはまるかを確認する必要がある。
今後の影響を見極める指標は3つある。探測が侵害後ペイロードを伴う持続攻撃へ広がるか、公開環境から影響版がなくなるか、そして後続Glasswing報告が低価値の洪水ではなく再現可能で重要、かつ保守者に処理可能なものとなるかだ。
HFSが支える結論は限定的だが重い。AI支援研究システムが専門家による珍しい端から端までの攻撃実証を助けた。その防御上の価値は、保守者が発見に対応し、運用者が提供済みの修正を確認済みの保護へ変えられるかで決まる。
情報源
Horizon3技術分析 · HFS 3.2.1リリース · Mythos能力報告 · 観測された攻撃通信 · Anthropic開示方針 · 旧HFSの脆弱性 · 元のニュース記録