Wiz identificou que atacantes combinaram duas vulnerabilidades no JFrog Artifactory para obter controle total de servidores auto hospedados e instalar backdoors.
O ataque começou com uma solicitação não autenticada ao endpoint de token que devolveu um token para o usuário interno anônimo. Esse token foi trocado no ponto de criação de token da Artifactory por um token com escopo de administrador, mantendo o nome anônimo nas ações.
As observações da Wiz ocorreram entre 15 de agosto e 8 de setembro. As falhas já tinham sido corrigidas pela JFrog antes desse período, então apenas os servidores que não receberam as atualizações ficaram expostos. Nenhuma das falhas por si só concede privilégios de administrador.
Com o acesso de administrador os invasores criaram contas de administração persistentes, instalaram plugins Groovy maliciosos via framework da Artifactory e executaram comandos shell para explorar o sistema. Em alguns casos lançaram um droper que baixou um binário por HTTP, gravou em diretório gravável como /tmp e abriu um canal de comando e controle. Também foi visto um backdoor personalizado em Rust com recursos de comando e controle.
Uma terceira falha, CVE-2026-82329, foi explorada separadamente entre 1º e 8 de setembro. Essa falha de bypass de autenticação crítica tem nota CVSS 9,8 e atinge a configuração padrão da Artifactory, permitindo que um atacante não autenticado obtenha privilégios de administrador por si só em seis ramificações até a versão 7.161.
Fastly registrou cerca de 406 mil tentativas de exploração em seu plataforma em 2 de setembro, sendo o dia de maior atividade. Em servidores comprometidos por essa falha os atacantes leram a configuração do sistema e, em várias ocasiões, capturaram a chave de junção do cluster, o segredo compartilhado que os nós usam para se registrar.
Indicadores de compromisso incluem contas realizando ações que não deveriam ser permitidas, como o usuário anônimo interno ou qualquer conta de baixo privilégio criando tokens, listando usuários ou lendo e escrevendo plugins. Também há contas de administrador nunca criadas intencionalmente, muitas com nomes de prova de conceito como 0xTerror ou svc_ e labadmin_ seguidos de caracteres aleatórios. Alguns invasores usaram nomes que se misturam como jfrog-distribution, jfrog-insight e repo-service.
Para se proteger recomenda se atualizar o Artifactory auto hospedado para a versão correta da ramificação conforme orientações da JFrog, revisar contas de administrador, rotacionar chaves de junção, revogar tokens emitidos após 28 de agosto e examinar alterações de configuração e repositórios.
Com informações de: The Hacker News