Des attaquants combinent des failles de JFrog Artifactory pour déployer une porte dérobée en Rust

Des attaquants compromettent activement des serveurs JFrog Artifactory auto-hébergés en combinant des vulnérabilités d’authentification et d’autorisation, avant d’établir un accès administrateur persistant et de déployer des logiciels malveillants personnalisés.

Wiz a observé des attaques exploitant CVE-2026-42018 et CVE-2026-42016 dans plusieurs environnements entre le 15 août et le 8 septembre 2026. Dans certains cas, les attaquants ont créé un nouveau compte administrateur moins de cinq minutes après le début de l’exploitation.

Une autre vulnérabilité critique, CVE-2026-82329, a également été exploitée pour générer des jetons administrateur. Elle a été ajoutée au catalogue des vulnérabilités exploitées connues de la Cybersecurity and Infrastructure Security Agency (CISA) américaine le 2 septembre 2026.

Wiz estime que 49 à 62 % des instances Artifactory accessibles étaient exposées à au moins l’une des trois vulnérabilités. Les attaques signalées concernent principalement des systèmes auto-hébergés, en particulier ceux accessibles depuis Internet.

Un jeton aux privilèges limités devient un accès administrateur

La chaîne d’exploitation des deux vulnérabilités commence par CVE-2026-42018, une faille d’authentification incorrecte affichant un score CVSS de 7,5. Elle peut être exploitée à distance, sans identifiants ni interaction de l’utilisateur.

Un appelant non authentifié peut obtenir un JSON Web Token associé à l’utilisateur anonyme interne d’Artifactory, y compris lorsque les administrateurs ont désactivé l’accès anonyme. Le jeton ainsi obtenu dispose initialement de permissions limitées, mais il fournit à l’attaquant l’identifiant nécessaire à l’étape suivante.

CVE-2026-42016 fournit ensuite le mécanisme d’élévation de privilèges. Artifactory valide la signature et l’émetteur du jeton, mais ne vérifie pas suffisamment sa portée. Un attaquant détenant le jeton de l’utilisateur anonyme interne peut exploiter cette faille d’autorisation pour obtenir des privilèges administrateur.

CVE-2026-42016 affiche un score CVSS de 8,1 et affecte les versions de JFrog Artifactory Self Hosted antérieures à 7.133.11. Elle est classée comme une vulnérabilité d’autorisation incorrecte et nécessite un jeton doté de faibles privilèges, condition fournie par CVE-2026-42018.

La plage exacte des versions affectées par CVE-2026-42018 n’a pas été communiquée dans les informations NVD disponibles. Les administrateurs ne doivent donc pas considérer l’absence de plage de versions indiquée comme la preuve qu’un déploiement n’est pas vulnérable.

Aucune interaction de l’utilisateur n’est nécessaire à l’une ou l’autre des étapes. Dès lors que les attaquants peuvent atteindre un service Artifactory vulnérable, la chaîne peut leur permettre de passer d’un accès non authentifié à un contrôle administratif complet.

Des plugins Groovy et une porte dérobée en Rust assurent la persistance

L’accès administrateur a permis aux intrus d’aller au-delà du simple détournement de jetons. Ils ont créé des comptes administrateur non autorisés et généré des jetons d’accès de longue durée, se ménageant ainsi d’autres moyens de revenir après la compromission initiale.

Les attaquants ont également installé des plugins Groovy malveillants. Ces plugins pouvant exécuter des commandes dans l’environnement Artifactory, ils leur ont fourni un mécanisme direct pour exécuter du code sous leur contrôle sur le système sous-jacent.

Wiz a retrouvé à plusieurs reprises une porte dérobée personnalisée écrite en Rust et dotée de fonctionnalités de commande et de contrôle dans les incidents analysés. Sa présence dans plusieurs environnements indique qu’il s’agit d’un composant récurrent de la phase post-exploitation, même si l’identité des opérateurs n’a pas été établie.

Les activités observées comprenaient :

• Le téléchargement de charges utiles supplémentaires dans /dev/shm, /tmp et /var/tmp
• Le déploiement de webshells
• L’énumération des dépôts, des utilisateurs et des jetons d’accès
• Le vol d’informations de configuration Artifactory et de clés de jonction au cluster
• L’ajout de clés SSH contrôlées par les attaquants aux comptes nouvellement créés
• La création d’utilisateurs administrateur et de jetons d’accès persistants
• L’installation de plugins Groovy capables d’exécuter des commandes arbitraires

Le vol des clés de jonction au cluster élargit les conséquences potentielles. Les défenseurs doivent considérer les éléments de configuration exposés et les secrets d’authentification comme compromis, plutôt que de supposer que la simple suppression de la porte dérobée suffit à rétablir la sécurité.

Wiz a publié des indicateurs associés à cette campagne, mais les indicateurs individuels ne sont pas disponibles ici. Les organisations devront donc combiner les éléments de détection fournis par les éditeurs ou les chercheurs avec des recherches comportementales ciblant les comptes, les jetons, les plugins, les fichiers et les commandes qui ne correspondent pas aux pratiques d’administration habituelles.

Une autre faille critique figure déjà dans le catalogue KEV de la CISA

WatchTowr a observé séparément l’exploitation de CVE-2026-82329 pour créer des jetons administrateur. Cette vulnérabilité est une faiblesse d’authentification qui affecte les versions de JFrog Artifactory antérieures à 7.111.21 dans la configuration par défaut.

Elle affiche un score CVSS de 9,8, ce qui reflète la possibilité d’une exploitation à distance sans authentification ni interaction de l’utilisateur, ainsi que des effets potentiels sur la confidentialité, l’intégrité et la disponibilité.

Les éléments disponibles ne permettent pas d’établir que les opérateurs exploitant CVE-2026-82329 sont les mêmes que ceux qui utilisent la chaîne CVE-2026-42018 et CVE-2026-42016. Ces activités doivent être considérées comme distinctes, sauf si de nouveaux éléments permettent de les relier.

La CISA a ajouté CVE-2026-82329 à son catalogue KEV le 2 septembre 2026, confirmant son exploitation dans la nature. La date limite de correction pour les agences civiles fédérales américaines était fixée au 5 septembre 2026.

La CISA exige des organisations concernées qu’elles appliquent les mesures d’atténuation fournies par l’éditeur tout en respectant la BOD 26-04, « Prioritizing Security Updates Based on Risk », ainsi que ses exigences en matière de triage forensique. Les agences doivent suivre les consignes applicables de la BOD 26-04 pour les services cloud ou cesser d’utiliser le produit si aucune mesure d’atténuation n’est disponible. Elles doivent également évaluer l’exposition de chaque actif à Internet et appliquer les exigences de correction correspondantes.

Il ne s’agit pas de la seule entrée récente de JFrog dans le catalogue KEV. CVE-2026-66384, une autre vulnérabilité associée à l’éditeur, y a été ajoutée le 27 août 2026.

Les recommandations de mise à jour couvrent plusieurs branches Artifactory

Les administrateurs de JFrog Artifactory doivent immédiatement effectuer une mise à niveau vers l’une des versions suivantes, ou vers une version ultérieure de la branche correspondante :

• 7.111.21
• 7.117.28
• 7.125.20
• 7.133.29
• 7.146.38
• 7.161.20

Ces versions correctives ne doivent pas être confondues avec le seuil spécifique indiqué par la NVD pour CVE-2026-42016, qui considère comme vulnérables les versions antérieures à 7.133.11. La raison de l’écart entre ce seuil et les versions recommandées pour les différentes branches n’a pas été expliquée.

Les versions connues comme exposées sont donc les suivantes :

Vulnérabilité	Fonction dans les attaques	Versions affectées
CVE-2026-42018	Obtient un JWT associé à l’utilisateur anonyme interne	Plage exacte non communiquée
CVE-2026-42016	Élève le jeton aux privilèges limités au niveau administrateur	Artifactory Self Hosted avant 7.133.11
CVE-2026-82329	Permet un accès administrateur non authentifié dans la configuration par défaut	Artifactory avant 7.111.21

Puisque la plage des versions affectées par CVE-2026-42018 n’a pas été publiée, les organisations doivent suivre les recommandations de mise à niveau vers les versions corrigées fournies, plutôt que d’appliquer des correctifs uniquement en fonction du seuil indiqué pour une seule vulnérabilité.

Les contrôles de compromission doivent se poursuivre après la mise à niveau

L’installation d’une version corrigée ferme les points d’entrée connus, mais ne supprime pas les comptes, les jetons, les webshells, les plugins ou les logiciels malveillants déjà présents sur un serveur. Chaque instance exposée doit faire l’objet d’une investigation après la mise à niveau.

Les défenseurs doivent examiner les journaux d’audit et d’accès d’Artifactory à la recherche d’émissions de jetons inhabituelles, en particulier de jetons associés à des identités anonymes ou nouvellement créées. Tous les comptes administrateur doivent être comparés à un inventaire approuvé, et les jetons de longue durée inexpliqués doivent être révoqués.

Les plugins Groovy nécessitent une attention particulière. Les administrateurs doivent identifier les plugins ajoutés ou modifiés récemment, déterminer qui les a installés et examiner les commandes ou processus enfants qu’ils ont lancés.

Les systèmes doivent également être analysés à la recherche d’exécutables, de scripts ou de charges utiles inhabituels dans /dev/shm, /tmp et /var/tmp. Les répertoires accessibles depuis le Web doivent être inspectés à la recherche de webshells, tandis que la configuration des comptes doit être vérifiée pour détecter la présence de clés SSH non autorisées.

Si des données de configuration ou des clés de jonction au cluster ont pu être consultées, les défenseurs doivent renouveler les secrets concernés et évaluer les nœuds Artifactory connectés. L’énumération des dépôts, des utilisateurs et des jetons peut également indiquer que les attaquants ont cartographié l’environnement avant de voler des données ou d’étendre leur accès.

Enfin, les services Artifactory auto-hébergés doivent être limités aux réseaux et systèmes d’administration de confiance, plutôt que d’être directement exposés à Internet. JFrog n’avait pas confirmé publiquement l’exploitation signalée au moment où l’éditeur a été sollicité pour commenter l’affaire, selon BleepingComputer.