Атакуващите експлоатират критични и с висока степен на опасност уязвимости в JFrog Artifactory, за да заобиколят автентикацията, да придобият администраторски привилегии и да инсталират Rust backdoor на уязвими самостоятелно хоствани (self-hosted) сървъри.

Нов доклад от компанията за облачна сигурност Wiz потвърди експлоатацията в множество среди, включително верига от уязвимости, която комбинира CVE-2026-42018 и CVE-2026-42016.

Третата уязвимост е CVE-2026-82329 – критично заобикаляне на автентикацията, което компанията за офанзивна сигурност watchTowr наблюдава да се експлоатира по-рано този месец за генериране на администраторски токени.

Според Wiz атакуващите експлоатират CVE-2026-42018, за да получат JSON Web Token (JWT), принадлежащ на вътрешен анонимен потребител на Artifactory с ниски привилегии, дори когато анонимният достъп е деактивиран.

След това те увеличават правата си до ниво администратор чрез експлоатиране на CVE-2026-42016, причинена от недостатъчна проверка на токените.

Между 15 август и 8 септември множество киберпрестъпници са експлоатирали двете уязвимости, за да получат JWT за вътрешния анонимен потребител и след това да го заменят за токен с администраторски обхват.

Изследователите отбелязват, че в някои случаи на атакуващия са му били необходими по-малко от пет минути, за да създаде администраторски акаунт.

След създаването на администраторски акаунти и генерирането на дълготрайни токени за достъп, атакуващите са инсталирали зловредни плъгини на Groovy за изпълнение на произволни команди и са установили персистентност чрез внедряване на backdoor, базиран на Rust.

„Между 15 август и 8 септември 2026 г. наблюдавахме как множество автори на заплахи комбинират CVE-2026-42018 и CVE-2026-42016 срещу самостоятелно хоствани инстанции на Artifactory“, заявяват от Wiz.

„При множество случаи наблюдавахме инсталирането на персонализиран Rust backdoor с възможности за C2 (управление и контрол).“

На следващия етап киберпрестъпниците са изтеглили допълнителен зловреден код в /dev/shm, /tmp и /var/tmp, качили са уеб шелове (webshells), откраднали са конфигурационни данни и ключове за присъединяване към клъстер на Artifactory, изброили са хранилищата, токените и потребителите и са добавили свои SSH ключове към новосъздадените акаунти.

От Wiz предупреждават, че между 49% и 62% от достъпните през интернет инстанции на Artifactory са уязвими към поне една от трите слабости.

Препоръчва се на системните администратори незабавно да актуализират до една от следните версии на Artifactory или по-нова:

  • 7.111.21
  • 7.117.28
  • 7.125.20
  • 7.133.29
  • 7.146.38
  • 7.161.20

След инсталирането на корекциите за сигурност разследвайте изложените в интернет инстанции за неочаквано създаване на токени, фалшиви администраторски акаунти, съмнителна активност на плъгини и заявки за изброяване (enumeration), и ограничете достъпа само до доверени системи.

Wiz публикува индикатори за компрометиране (IoCs), свързани с наблюдаваните атаки, за да помогне на специалистите по защита да ги открият бързо.

BleepingComputer се свърза с JFrog за потвърждение на съобщената активност, но до момента на публикуването не е получен отговор.