Gli aggressori concatenano le vulnerabilità di JFrog Artifactory per distribuire una backdoor Rust

Gli aggressori stanno compromettendo attivamente i server JFrog Artifactory autogestiti concatenando vulnerabilità di autenticazione e autorizzazione, per poi stabilire un accesso amministrativo persistente e distribuire malware personalizzato.

Wiz ha osservato attacchi che hanno coinvolto CVE-2026-42018 e CVE-2026-42016 in diversi ambienti tra il 15 agosto e l’8 settembre 2026. In alcuni casi, gli aggressori hanno creato un nuovo account amministratore meno di cinque minuti dopo l’inizio dello sfruttamento.

È stata sfruttata anche una vulnerabilità critica distinta, CVE-2026-82329, per generare token amministrativi. Il 2 settembre 2026 è stata inserita nel catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency statunitense.

Secondo le stime di Wiz, tra il 49% e il 62% delle istanze Artifactory raggiungibili erano esposte ad almeno una delle tre vulnerabilità. Gli attacchi segnalati riguardano principalmente i sistemi autogestiti, in particolare quelli accessibili da Internet.

Un token con privilegi limitati diventa un accesso amministrativo

La catena che sfrutta le due vulnerabilità inizia con CVE-2026-42018, una falla di autenticazione impropria con un punteggio CVSS di 7,5. È sfruttabile da remoto senza credenziali né interazione dell’utente.

Un chiamante non autenticato può ottenere un JSON Web Token associato all’utente anonimo interno di Artifactory, anche quando gli amministratori hanno disabilitato l’accesso anonimo. Il token risultante dispone inizialmente di autorizzazioni limitate, ma fornisce all’aggressore la credenziale necessaria per la fase successiva.

CVE-2026-42016 consente quindi l’escalation dei privilegi. Artifactory convalida la firma e l’emittente del token, ma non ne verifica adeguatamente l’ambito. Un aggressore in possesso del token dell’utente anonimo interno può sfruttare questa lacuna nell’autorizzazione per ottenere privilegi a livello di amministratore.

CVE-2026-42016 ha un punteggio CVSS di 8,1 e interessa le versioni di JFrog Artifactory Self Hosted precedenti alla 7.133.11. È classificata come una vulnerabilità di autorizzazione errata e richiede un token con privilegi limitati, condizione fornita da CVE-2026-42018.

Nelle informazioni NVD disponibili non è stato divulgato l’intervallo esatto delle versioni interessate da CVE-2026-42018. Gli amministratori non devono quindi considerare l’assenza di un intervallo di versioni indicato come prova del fatto che un’installazione non sia interessata.

Nessuna delle due fasi richiede l’interazione dell’utente. Una volta raggiunto un servizio Artifactory vulnerabile, la catena può passare dall’accesso non autenticato al pieno controllo amministrativo.

I plugin Groovy e una backdoor Rust garantiscono la persistenza

L’accesso amministrativo ha permesso agli intrusi di andare oltre l’abuso dei token. Hanno creato account amministratore non autorizzati e generato token di accesso a lunga durata, ottenendo ulteriori modalità per rientrare nel sistema dopo la compromissione iniziale.

Gli aggressori hanno inoltre installato plugin Groovy dannosi. Poiché questi plugin possono eseguire comandi all’interno dell’ambiente Artifactory, hanno fornito un meccanismo diretto per eseguire codice controllato dagli aggressori sul sistema sottostante.

Wiz ha rilevato ripetutamente una backdoor Rust personalizzata con funzionalità di command and control nei diversi incidenti analizzati. La sua presenza in più ambienti indica un componente ricorrente della fase successiva allo sfruttamento, anche se l’identità degli operatori non è stata accertata.

Le attività osservate includevano:

• Scaricamento di payload aggiuntivi in /dev/shm, /tmp e /var/tmp
• Caricamento di webshell
• Enumerazione di repository, utenti e token di accesso
• Furto delle informazioni di configurazione di Artifactory e delle cluster join key
• Aggiunta di chiavi SSH controllate dagli aggressori agli account appena creati
• Creazione di utenti amministratore e token di accesso persistenti
• Installazione di plugin Groovy in grado di eseguire comandi arbitrari

Il furto delle cluster join key amplia le potenziali conseguenze dell’attacco. I responsabili della difesa devono considerare compromessi i materiali di configurazione e i segreti di autenticazione esposti, senza presumere che la sola rimozione della backdoor ripristini la sicurezza.

Wiz ha pubblicato gli indicatori associati alla campagna, ma qui non sono disponibili i singoli indicatori. Le organizzazioni dovranno quindi combinare il materiale di rilevamento fornito dal vendor o dai ricercatori con ricerche comportamentali su account, token, plugin, file e comandi che non corrispondono alle normali attività amministrative.

Un’altra falla critica è già nel catalogo KEV di CISA

WatchTowr ha osservato separatamente lo sfruttamento di CVE-2026-82329 per generare token amministrativi. La vulnerabilità è una debolezza di autenticazione che interessa le versioni di JFrog Artifactory precedenti alla 7.111.21 nella configurazione predefinita.

Ha un punteggio CVSS di 9,8, che riflette la possibilità di sfruttamento da remoto senza autenticazione né interazione dell’utente e i potenziali effetti su riservatezza, integrità e disponibilità.

Le prove disponibili non dimostrano che gli operatori che sfruttano CVE-2026-82329 siano gli stessi che utilizzano la catena CVE-2026-42018 e CVE-2026-42016. Le attività devono essere trattate come distinte, salvo che ulteriori elementi di attribuzione stabiliscano un collegamento.

CISA ha aggiunto CVE-2026-82329 al proprio catalogo KEV il 2 settembre 2026, confermando che la vulnerabilità era sfruttata attivamente. La scadenza per la remediation delle agenzie civili federali statunitensi era il 5 settembre 2026.

CISA impone alle organizzazioni interessate di applicare le mitigazioni del vendor rispettando al contempo la BOD 26-04, “Prioritizing Security Updates Based on Risk”, e i relativi Forensics Triage Requirements. Le agenzie devono seguire le indicazioni applicabili della BOD 26-04 per i servizi cloud oppure interrompere l’utilizzo del prodotto se le mitigazioni non sono disponibili. Devono inoltre valutare l’esposizione a Internet di ogni asset e applicare i requisiti di aggiornamento pertinenti.

Questa non è l’unica recente vulnerabilità di JFrog inserita nel catalogo KEV. Il 27 agosto 2026 è stata aggiunta al catalogo anche CVE-2026-66384, un’altra vulnerabilità associata al vendor.

Le indicazioni per le patch riguardano diversi rami di release di Artifactory

Gli amministratori di JFrog Artifactory devono effettuare immediatamente l’aggiornamento a una delle seguenti release o a una versione successiva dello stesso ramo:

• 7.111.21
• 7.117.28
• 7.125.20
• 7.133.29
• 7.146.38
• 7.161.20

Queste release correttive non devono essere confuse con la soglia specifica indicata nell’NVD per CVE-2026-42016, secondo cui sono vulnerabili le versioni precedenti alla 7.133.11. Il motivo della differenza tra tale soglia e le release consigliate per i vari rami non è stato spiegato.

L’esposizione nota alle versioni è quindi la seguente:

Vulnerabilità	Funzione negli attacchi	Versioni interessate
CVE-2026-42018	Ottiene un JWT dell’utente anonimo interno	Intervallo esatto non divulgato
CVE-2026-42016	Eleva il token con privilegi limitati all’ambito amministrativo	Artifactory Self Hosted precedente alla 7.133.11
CVE-2026-82329	Consente l’accesso amministrativo non autenticato nella configurazione predefinita	Artifactory precedente alla 7.111.21

Poiché per CVE-2026-42018 non è stato pubblicato un intervallo di versioni interessate, le organizzazioni dovrebbero seguire le indicazioni sulle release corrette fornite, invece di applicare patch basandosi solo sulla soglia indicata per una delle vulnerabilità.

I controlli sulla compromissione devono continuare dopo l’aggiornamento

L’installazione di una versione corretta chiude i punti di ingresso noti, ma non rimuove account, token, webshell, plugin o malware già inseriti nel server. Ogni istanza esposta dovrebbe essere sottoposta a un’indagine dopo l’aggiornamento.

I responsabili della difesa dovrebbero esaminare i log di audit e di accesso di Artifactory alla ricerca di emissioni impreviste di token, in particolare di token collegati ad account anonimi o identità create di recente. Tutti gli account amministratore devono essere verificati rispetto a un inventario approvato e i token a lunga durata privi di una giustificazione devono essere revocati.

I plugin Groovy richiedono particolare attenzione. Gli amministratori dovrebbero individuare i plugin aggiunti o modificati di recente, stabilire chi li ha installati e analizzare i comandi o i processi figli da essi avviati.

È inoltre necessario cercare nei sistemi eseguibili, script o payload insoliti in /dev/shm, /tmp e /var/tmp. Le directory accessibili via web devono essere controllate alla ricerca di webshell, mentre le configurazioni degli account devono essere verificate per individuare chiavi SSH non autorizzate.

Se è possibile che siano stati consultati dati di configurazione o cluster join key, i responsabili della difesa devono ruotare i segreti interessati e valutare i nodi Artifactory collegati. L’enumerazione di repository, utenti e token può inoltre indicare che gli aggressori hanno mappato l’ambiente prima di sottrarre dati o ampliare il proprio accesso.

Infine, i servizi Artifactory autogestiti dovrebbero essere limitati alle reti e ai sistemi amministrativi attendibili, invece di essere esposti direttamente a Internet. Secondo quanto riportato da BleepingComputer, al momento del contatto per un commento JFrog non aveva confermato pubblicamente lo sfruttamento segnalato.