Aktualizované: Zneužívanie Artifactory: Wiz potvrdil útoky cez tri chyby

Wiz zaznamenal aktívne zneužívanie troch zraniteľností JFrog Artifactory. Útočníci podľa firmy reťazili dve chyby na získanie administrátorského prístupu a na kompromitovaných self-hosted serveroch vytvárali účty, škodlivé pluginy aj backdoory.

Aktualizované: Wiz potvrdil aktívne zneužívanie ďalšieho reťazca dvoch chýb Artifactory a pri kompromitovaných serveroch uviedol vytváranie účtov, škodlivé pluginy a backdoory.

Zneužívanie Artifactory: Wiz 10. septembra 2026 potvrdil aktívne zneužívanie troch zraniteľností JFrog Artifactory: CVE-2026-42016, CVE-2026-42018 a CVE-2026-82329. Pri kompromitovaných self-hosted serveroch pozoroval vytváranie administrátorských účtov, nasadzovanie škodlivých Groovy pluginov a v niektorých prípadoch aj backdoorov.

Ilustrácia zneužívania Artifactory a neoprávneného administrátorského prístupu

Ide o konkrétnejšie potvrdenie následkov než skoršie hlásenia o vytváraní administrátorských tokenov pri CVE-2026-82329. Identita ani počet útočníkov zatiaľ verejne známe nie sú. Wiz zároveň uvádza, že všetky pozorované kroky pravdepodobne nevykonal jeden aktér.

Zneužívanie Artifactory cez reťazec dvoch chýb

Podľa Wiz útočníci reťazili CVE-2026-42018 a CVE-2026-42016. Prvá zraniteľnosť môže neautentizovanému volajúcemu vydať interný token anonymného používateľa. Druhá následne umožňuje eskalovať takýto nízkoprivilegovaný token na administrátorský.

Získanie administrátorského prístupu k Artifactory dáva útočníkovi možnosť meniť konfiguráciu, pracovať s povereniami alebo zasahovať do obsahu repozitárov. Artifactory pritom často spravuje artefakty používané v buildoch a nasadzovaní softvéru.

V dostupných podkladoch však nie je verejne nezávisle forenzne potvrdená konkrétna kompromitácia zákazníkov. Potvrdená nie je ani manipulácia s produkčnými buildmi či distribuovanými artefaktmi.

Samostatné zneužívanie CVE-2026-82329

Wiz uviedol, že CVE-2026-82329 bola zneužívaná aj samostatne, a to medzi 1. a 8. septembrom 2026. Táto chyba bola už predmetom skorších hlásení o aktivite smerujúcej k vytváraniu administrátorských tokenov.

JFrog naďalej uvádza pre self-hosted nasadenia opravené verzie 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 a 7.161.20. Cloudové prostredia boli podľa výrobcu opravené.

  • Prevádzkovatelia self-hosted inštancií by mali overiť používanú vetvu a nasadiť príslušnú opravenú verziu.
  • Po aktualizácii je vhodné preveriť neznáme administrátorské účty a tokeny.
  • Kontrolu si vyžadujú aj pluginy, konfigurácia a podozrivé procesy alebo súbory na serveri.

Rozsah incidentov zatiaľ nie je známy

Nie je známy počet zasiahnutých inštancií ani úplný zoznam indikátorov kompromitácie. Verejne zatiaľ nebolo zverejnené pripísanie kampaní konkrétnym aktérom.

Ďalšie informácie môže priniesť stanovisko JFrog k rozsahu kompromitácií, prípadné nové indikátory kompromitácie a odporúčania pre reakciu na incident. Dôležité bude aj nezávislé potvrdenie jednotlivých kampaní a prípadných zásahov do softvérových artefaktov.

Súvisiace články

Zdroje

  • Wiz Blog – Wiz zverejnil 10. septembra zistenia o aktívnom zneužívaní CVE-2026-42016, CVE-2026-42018 a CVE-2026-82329 vrátane ich reťazenia na získanie administrátorského prístupu.
  • JFrog Security Advisories – Potvrdzuje opis CVE-2026-82329, dotknuté a opravené verzie a stav nápravy cloudových prostredí.
  • The Hacker News – Koroboruje správu Wiz o zreťazení dvoch chýb, získaní administrátorského prístupu a nasadení perzistentných mechanizmov.
  • Dark Reading – Koroboruje skoršie pozorovania aktívneho zneužívania CVE-2026-82329 a vytvárania administrátorských tokenov.

Overené a aktualizované: 11. 09. 2026 15:29

Značky
Zdieľanie

Súvisiace