この記事の要点は？

ファイル共有サーバー Rejetto HFS の脆弱性 CVE-2026-61500 は、セッションクッキーの署名鍵を JavaScript の Math.random() から作っていたことが原因でした。修正版3.2.1は2026年7月13日に公開済みですが、2026年9月30日に攻撃手順の詳細が公開されています。「ばらけている乱数」と「予測できない乱数」の違い、そして鍵やトークンに使うべき暗号用の乱数をやさしく解説します。

2026年10月5日

ログインせずに管理者になれた — Math.random() で署名したクッキーが偽造されたHFSの脆弱性

この記事は 2026年10月5日時点のニュースです。現在の提供状況とは異なる場合があります。誤りの訂正は随時行います。

ITニュース解説セキュリティ脆弱性乱数 Node.js 2026年10月

CVE-2026-61500 の攻撃の流れ（影響範囲は Rejetto HFS 3.0.0〜3.2.0）

ひよこ

ペンギン先生、ファイル共有ソフトの脆弱性で「ログインしなくても管理者になれた」って本当なの？

ペンギン先生

Rejetto HFSというファイル共有サーバーの CVE-2026-61500 だね。影響を受けるのは3.0.0〜3.2.0で、修正版の3.2.1は2026年7月13日にもう公開されている。VulnCheckの評価ではCVSS 4.0で9.3の「Critical」だよ。そして2026年9月30日に、発見者が攻撃手順の詳細を公開したんだ。

ひよこ

パッチが7月に出てるなら、もう安心なんじゃないの？

ペンギン先生

当てていればね。7月の修正のお知らせには「過去のすべてのバージョンで複数の脆弱性が見つかり、攻撃者がHFSの管理者アクセスを得られる可能性がある」と書かれていただけで、仕組みは伏せられていた。それが9月30日に手順ごと公開されたから、まだ更新していないサーバーは地図を配られた状態に近いんだ。しかもこのソフトは昔から狙われていて、CISAの「悪用が確認された脆弱性」カタログにはHFSの古い脆弱性が2件——2022年3月25日追加のCVE-2014-6287と、2024年7月9日追加のCVE-2024-23692——すでに載っている。後者はランサムウェアでの悪用が「Known（確認済み）」と記録されているよ。

ひよこ

それで、どうやってログインなしに管理者になれちゃうの？

ペンギン先生

鍵の作り方が出発点なんだ。HFSの3.x系はNode.jsで書かれていて、Koaというフレームワークのセッション機能を使っている。セッションのクッキーはkeygripという仕組みで署名されるんだけど、その署名鍵をJavaScriptの Math.random() から作っていた。起動時の randomId(30) という処理が Math.random() をちょうど3回分消費して、それが署名鍵になっていたんだよ。

ひよこ

Math.random() ってランダムな数が出るんでしょ？それじゃダメなの？

ペンギン先生

「ばらけている」ことと「予測できない」ことは別なんだ。Node.jsやChromeの中身であるV8は、Math.random() に xorshift128+ というアルゴリズムを使っている（Chrome 49で利用可能になったもの）。V8の開発チーム自身が「xorshift128+ はMWC1616からの大きな改善だが、それでも暗号学的に安全ではない」と書いているし、MDNの Math.random() のページにも「暗号学的に安全な乱数は提供しない。セキュリティに関わることには使わないこと」という注記があるよ。出力をいくつか観測できれば、計算で内部状態を割り出せてしまうんだ。

ひよこ

でも、その出力って外から見えるものなの？

ペンギン先生

そこがこの脆弱性の二つ目の穴でね。HFSはログイン処理のときにセッションへ sid = Math.random() を入れていて、koa-sessionのクッキーはBase64にしたJSONだから、生の値がそのままクライアントに届いていたんだ。しかもログインのエンドポイントは認証なしで叩ける。発見者の解説では、ここから約12回分の連続した出力を集めれば内部状態を復元できたとされている。

ひよこ

内部状態が分かったあとは、どうなるの？

ペンギン先生

MicrosoftのZ3というSMTソルバに観測値を制約として与えて、内部状態を求める。xorshift128+ は逆向きにたどれるので、そこから状態を巻き戻してプロセス起動時まで戻れるんだ。起動時の3回分が署名鍵だったよね。鍵が分かれば、管理者のセッションクッキーを自分で署名して作れてしまう。HFSには server_code という設定でコードを置ける機能があるから、管理者になれた時点で任意コード実行まで繋がった、というのが発見者の説明だよ。

ひよこ

これ、AIが見つけたって聞いたんだけど、ほんと？

ペンギン先生

Horizon3.aiのZach HanleyがAnthropicのMythosを使って見つけたものだよ。評価されているのは「二つの事実をつなげた」ところでね。本人は「Mythosは安全でない擬似乱数を単独で指摘しただけではなく、同時に、別のコード経路からMath.random()の生の出力が漏れていることを見つけ、その二つの事実をひとつの連鎖として認識した」と書いている。なお、詳細公開の直後からこの脆弱性を狙う通信を検知した、というセキュリティ企業の研究者の投稿を報じた記事もあるよ。ただしそれは報道とSNS投稿が根拠で、ぼくたちが一次資料で確かめられた話ではないし、2026年10月4日版のCISAのカタログにもこのCVE自体はまだ入っていない。「もう広く悪用されている」と決めつけず、それでも更新は早めに、くらいで受け取るのがちょうどいいね。

ひよこ

ぼくが自分でコードを書くときは、どう気をつければいいの？

ペンギン先生

用途で分けるのが基本だよ。表示順のシャッフルやサンプリングのように、当てられても困らないものは Math.random() で十分。でも鍵・トークン・セッションID・パスワード再設定のリンクみたいに「当てられたら負け」のものは暗号用の乱数を使う。抽選のように当てられると不公平になるものも、暗号用側に寄せておくと安心だね。Node.jsなら crypto.randomBytes() が「暗号学的に強い擬似乱数データを生成する」と明記されているし、crypto.randomUUID() も暗号用の擬似乱数生成器を使うと書かれている。ブラウザなら crypto.getRandomValues() だよ。それと今回の教訓をもう一つ。乱数の生の出力を外に出さないこと。発見者も、署名鍵は環境側から渡して、あとから入れ替えられるようにしておくことを勧めているんだ。

出典・確認した情報

Rejetto HFS Session Forgery via Predictable Signing Key（VulnCheck Advisory / CVE-2026-61500）
発表日: 2026-07-13 ／確認日: 2026-10-05
- 「Rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random() generator」と記載。影響範囲は3.0.0〜3.2.0で、原因は非暗号用の Math.random() から署名鍵を導出していたこと
- 攻撃手順として「collect a small number of login responses, reconstruct the generator's state, recover the signing key, and forge a valid administrator session cookie」と記載。必要な観測数はこの資料では「a small number」という表現にとどまる
- 成功時の影響は「full administrative access and remote code execution via the server_code configuration feature」と記載。任意コード実行はHFSの server_code 設定機能を経由する
- 深刻度はCVSS 9.3（Critical）、ベクタは CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。分類はCWE-338（Use of Cryptographically Weak Pseudo-Random Number Generator）
- 修正版は3.2.1。Disclosure日付は2026年7月13日と記載
- 発見のクレジットは Zach Hanley（@hacks_zach, Horizon3.ai）と Claude / Anthropic Research
- この資料自体には実環境での悪用（in-the-wild exploitation）の記載はない（2026-10-05時点で本文を確認）
Anthropic Mythos Finds Rejetto HFS RCE（Horizon3.ai 技術詳細）
発表日: 2026-09-30 ／確認日: 2026-10-05
- 公開日は2026年9月30日。対象はRejetto HFS 3.X（TypeScriptで書き直された系列）
- 署名鍵は起動時の randomId(30) で生成され、この処理が Math.random() をちょうど3回分（3 consecutive outputs）消費すると記載
- セッションクッキーの署名はKoaフレームワークのkeygripが行うと記載
- 漏洩経路について「koa-session cookies are base64 JSON...so the client receives the exact 52-bit double in its own Set-Cookie」と記載。認証処理が sid = Math.random() をセッションに格納し、生の値がクライアントへ渡っていた
- 内部状態の復元には認証不要のログインエンドポイントから「approximately 12 consecutive observations」が必要と記載
- 復元手法はMicrosoftのSMTソルバZ3に観測値を制約として与える方式。「xorshift128+ invertible over GF(2), refills are 64 deterministic forward steps so state steps backwards to process start」と記載し、状態をプロセス起動時まで巻き戻せる
- Mythosの貢献として「Mythos didn't just flag the insecure PRNG in isolation – it simultaneously identified that the application leaked raw Math.random() outputs through a separate code path, recognized those two facts as a chain.」と記載
- 影響は「unauthenticated access to administrative control, and ultimately, remote code execution」と記載
- 推奨対策として Math.random() を crypto.randomBytes() などの暗号用乱数へ置き換えること、署名鍵を環境側から渡すこと、鍵のローテーション機構を用意することを挙げている
Release 3.2.1（rejetto/hfs GitHub Releases）
発表日: 2026-07-13 ／確認日: 2026-10-05
- リリース日は2026年7月13日（15:31 UTC）
- 「Multiple security vulnerabilities have been found in all previous versions, potentially allowing an attacker to gain administrative access to HFS.」と記載。過去の全バージョンで複数の脆弱性があり、管理者アクセスを得られる可能性があるとだけ述べ、具体的な仕組みは記載していない
- Zach Hanley（Horizon3.ai）および Claude / Anthropic Research へのクレジットを記載
CVE-2026-61500（OSV - Open Source Vulnerabilities）
発表日: 2026-07-13 ／確認日: 2026-10-05
- Published は2026-07-13T17:21:55Z、Modified は2026-10-02T03:30:27Z
- 影響パッケージは github.com/rejetto/hfs、影響バージョンは3.0.0〜3.2.0、修正バージョンは3.2.1
- CVSS 9.3（Critical）、CWE-338
Known Exploited Vulnerabilities Catalog（CISA 公式JSONフィード）
発表日: 2026-10-04 ／確認日: 2026-10-05
- catalogVersion は 2026.10.04、dateReleased は 2026-10-04T18:52:56.0635Z、収録件数は1734件（2026-10-05にJSONを取得して確認）
- CVE-2026-61500 はこのカタログに収録されていない（取得したJSONの全1734件をCVE IDで検索して不在を確認）
- Rejetto HTTP File Server では CVE-2024-23692 が dateAdded 2024-07-09・CWE-1336 で収録され、knownRansomwareCampaignUse は「Known」と記録されている
- Rejetto HTTP File Server (HFS) では CVE-2014-6287 が dateAdded 2022-03-25・CWE-94 で収録され、knownRansomwareCampaignUse は「Unknown」と記録されている
There's Math.random(), and then there's Math.random()（V8 公式ブログ）
発表日: 2015-12-17 ／確認日: 2026-10-05
- V8は Math.random() に xorshift128+ を採用し、V8 4.9.41.0（Chrome 49で利用可能）から有効になったと記載。それ以前はMWC1616を使っていた
- 「even though xorshift128+ is a huge improvement over MWC1616, it is still not cryptographically secure」と記載。暗号用途には window.crypto.getRandomValues を使うよう案内している
Math.random() - JavaScript | MDN
発表日: 2026-10-05 ／確認日: 2026-10-05
- 「Math.random() does not provide cryptographically secure random numbers. Do not use them for anything related to security. Use the Web Crypto API instead, and more precisely the Crypto.getRandomValues() method.」という注記を記載
Crypto | Node.js v26 Documentation
発表日: 2026-10-05 ／確認日: 2026-10-05
- crypto.randomBytes(size[, callback]) は「Generates cryptographically strong pseudorandom data.」と記載
- crypto.randomUUID([options]) は「Generates a random RFC 4122 version 4 UUID. The UUID is generated using a cryptographic pseudorandom number generator.」と記載

ログインせずに管理者になれた — Math.random() で署名したクッキーが偽造されたHFSの脆弱性

出典・確認した情報

関連コラム