Активно се експлоатират три уязвимости в JFrog Artifactory, които атакуващите използват за заобикаляне на автентикацията, ескалиране на привилегии и поемане на администраторски контрол върху изложени сървъри.
Пропуските, проследявани като CVE-2026-42016, CVE-2026-42018 и CVE-2026-82329, засягат множество версии на Artifactory и създават сериозен риск за сигурността на веригата за доставки.
Киберпрестъпниците вече са насочили атаките си към самостоятелно хоствани (self-hosted) инсталации на Artifactory, като създават персистентни администраторски профили, внедряват злонамерени Groovy плъгини, изпълняват шел команди и инсталират задни врати (backdoors), базирани на Rust.
Тъй като Artifactory обикновено съхранява софтуерни пакети, идентификационни данни, метаданни на репозитория и CI/CD интеграции, успешно компрометиране би могло да осигури на атакуващите път към по-широки среди за разработка и облачни среди.
CVE-2026-42018 е уязвимост в автентикацията, която може да разкрие вътрешен токен на анонимен потребител на неавтентикиран отдалечен заявител, дори когато анонимният достъп е деактивиран. Токенът може да предостави достъп до ресурси, налични за вътрешната анонимна идентичност на Artifactory.
CVE-2026-42016 е слабост при валидирането на обхвата (scope) на токена. Artifactory валидира подписа и издателя на токена, но може да не успее да приложи правилно неговия оторизиран обхват. Атакуващ може да злоупотреби с валиден токен с ниски привилегии, за да поиска повишени права.
Уязвимости в JFrog Artifactory се експлоатират активно
Wiz наблюдава как атакуващите верижно използват CVE-2026-42018 и CVE-2026-42016 между 15 август и 8 септември 2026 г. Активността започва с POST заявка към /access/api/v1/aws/token/, включваща наклонена черта накрая, която връща анонимен JWT токен.
След това атакуващите изпращат токена към /access/api/v1/tokens, за да генерират токен с администраторски обхват. Последващите действия се появяват в логовете като token: anonymous, въпреки че разполагат с администраторски правомощия.
В няколко случая киберпрестъпниците са създали персистентен администраторски профил за по-малко от пет минути, използвайки крайни точки като /api/security/users/.
Те също така инсталират злонамерени Groovy плъгини чрез родната рамка за плъгини на Artifactory, което позволява изпълнение на произволни команди на сървъра.
Програмите за сваляне на зловреден код (payload droppers) изтеглят бинарни файлове в места с права за запис, включително /tmp, /dev/shm и /var/tmp, след което установяват командно-контролна (C2) комуникация.
Третата уязвимост, CVE-2026-82329, е критично заобикаляне на автентикацията, засягащо инсталации на Artifactory, използващи конфигурацията по подразбиране. Неавтентикиран атакуващ може да изпрати POST заявка към /access/api/v1/registry/join и потенциално да получи токен с администраторски обхват.
Wiz наблюдава експлоатация от 1 септември до 8 септември, последвана от кражба на конфигурация, изброяване (enumeration) на потребители и репозитории, създаване на токени и кражба на ключове за присъединяване към клъстер.
Авторите на заплахата също така създават профили с имена jfrog-distribution, jfrog-insight, repo-service, backup-service, ldap_admin и 0xterror. Тези профили могат да се слеят с нормалните сервизни идентичности и да предоставят дългосрочен достъп, след като първоначалната уязвимост бъде отстранена.
Излагането в облачните среди остава значително. Wiz установи, че 67 процента от организациите, използващи Artifactory, са имали поне един уязвим екземпляр, когато CVE-2026-42016 беше оповестена на 27 юли.
Индикатори за компрометиране (IOCs) при експлоатацията на JFrog Artifactory:
| Тип | IOCs |
|---|---|
| IP / C2 | 93.104.155[.]133, 146.19.216[.]120, 185.190.58[.]172, 45.61.176[.]88, 137.184.111[.]69, 64.207.232[.]6:8443 |
| URL адреси на зловреден код | hxxp://log.gitclone[.]org:45678/smtp, hxxp://3.88.162[.]79:36789/smtp |
| Файл / Хеш | /tmp/.z — 513a907b69edffc3cb77a494da395178d21ef9bd |
| Профил | 0xterror, svc_[a-zA-Z0-9]{8}, Nxploited_[a-zA-Z0-9]{3} |
За CVE-2026-42018, 69 процента са били уязвими при разкриването, докато CVE-2026-82329 засяга 67 процента от организациите при публикуването ѝ на 28 август. Отстраняването на критичното заобикаляне на автентикацията е по-бързо, но 49 процента от организациите остават изложени на риск две седмици по-късно.
Организациите трябва незабавно да идентифицират всички инсталации на Artifactory, да дадат приоритет на тези с достъп до интернет и да актуализират до коригираните версии. Коригираните версии включват 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 и 7.161.20 или по-нови, в зависимост от засегнатата уязвимост и клона на версията.
Екипите по сигурност трябва да търсят успешни заявки към /access/api/v1/aws/token/, /access/api/v1/tokens и /access/api/v1/registry/join.
Те също така трябва да разследват неочаквана привилегирована активност от анонимни профили или профили с ниски привилегии, новосъздадени администраторски профили, внедряване на плъгини, генериране на токени, експорт на конфигурации и необичайни изходящи връзки от Artifactory сървъри.