Alerta: falla crítica en Rejetto HFS (CVSS 9.3) se está explotando — cómo proteger tu empresa
Si compartes archivos con HFS (HTTP File Server), esto te afecta. Muchas oficinas pequeñas lo usan para compartir documentos entre compañeros o con clientes: es gratis, liviano y se instala en un par de clics. Justamente por eso se volvió un blanco: acaba de aparecer una falla crítica (CVE-2026-61500, severidad 9.3 de 10) en ese programa que ya se está explotando activamente y que permite a un atacante tomar el control total del equipo donde corre.
Lo importante: no es un ataque masivo al azar, son ataques dirigidos — exactamente el tipo que busca a la PYME que lo dejó abierto «para que sea más fácil». Y la solución es simple: actualizar a la versión 3.2.1.
¿Qué es HFS y por qué es un riesgo en una PYME?
HFS es un servidor de archivos gratuito para Windows que se usa mucho para compartir documentos en oficinas chicas, sin montar una infraestructura compleja.
El detalle que lo vuelve peligroso: para que los usuarios de afuera puedan bajar archivos, mucha gente lo deja expuesto a internet y con la configuración por defecto. En ese escenario, cualquier falla en HFS deja la puerta abierta a cualquiera del mundo.
Qué hace la falla CVE-2026-61500
La falla se resume en una cadena peligrosa: una sesión predecible, un administrador falsificado y ejecución de código a control remoto.
Versiones afectadas: de 3.0.0 a 3.2.0
El problema alcanza a las versiones 3.0.0 hasta 3.2.0 de HFS. Las versiones anteriores y posteriores no están en la zona afectada.
Qué pasa: una sesión de administrador predecible
HFS genera el identificador de sesión del administrador de forma predecible. Un atacante puede falsificar la sesión de administrador sin tener usuario ni contraseña.
Consecuencia: ejecución remota de código (control total)
Una vez que entra como administrador, ejecuta código a su antojo en el equipo (ejecución remota de código, RCE). Es decir, control total del servidor y de lo que comparte.
Severidad: 9.3 de 10 (crítica). Ya se está explotando en ataques dirigidos. Dato del caso: la falla se descubrió con ayuda de una IA (Mythos, de Anthropic) — una señal de que el ritmo de hallazgo de vulnerabilidades se aceleró.
Corrección: actualiza a HFS 3.2.1 (o superior).
¿Tu empresa está expuesta? Checklist rápido
- ¿Tienes HFS instalado? Suele pasar que alguien lo instaló hace años y ya nadie lo recuerda. Vale la pena revisarlo.
- ¿Es accesible desde internet? Si tiene un puerto abierto hacia afuera, el riesgo es real (aunque no lo uses seguido).
- ¿Está en la versión 3.0.0–3.2.0? Si sí, estás en la zona afectada.
- ¿Hay actividad extraña? Sesiones de administrador que no reconoces, archivos nuevos o procesos raros.
Este caso confirma una tendencia de fondo: la IA ya encuentra fallas antes que los equipos humanos, y los atacantes las explotan en días. Qué significa para tu empresa y cómo blindarte lo desarrollamos en ciberseguridad para PYME en Panamá: la IA ya encuentra vulnerabilidades antes que tú.
Qué hacer ahora mismo
- Actualiza a 3.2.1 cuanto antes. Es la corrección oficial.
- Si no puedes actualizar ya, corta el acceso desde internet: déjalo solo en la red interna o detrás de una VPN.
- Revisa el equipo por si alguien ya entró (logs, cuentas, archivos).
- A mediano plazo, saca el riesgo de encima: en vez de un servidor de archivos suelto en un PC, usa una solución de archivos gestionada, con respaldo, control de accesos y monitoreo — así el problema no vuelve a aparecer solo.
Preguntas frecuentes
¿Me afecta si no uso HFS?
No. La falla es exclusiva de HFS 3.0.0–3.2.0. Si no lo tienes instalado, no aplica.
¿Actualizar borra mis archivos?
No. La actualización a 3.2.1 reemplaza el programa; tus archivos y carpetas se mantienen.
¿Qué pasa si no sé si lo tengo instalado?
Es un caso muy común. Lo más rápido es una revisión de los equipos y de los puertos expuestos, para saber qué hay y qué quedó abierto.
¿Por qué una PYME es objetivo?
Porque los atacantes van por lo fácil: servidores chicos, dejados abiertos y sin actualizar. Un equipo tomado sirve para pedir rescate, robar información o saltar a otros sistemas.
Fuentes consultadas: GitHub Advisory Database (GHSA-xxrm-3f86-v97j / CVE-2026-61500), The Hacker News y Horizon3.ai.
