Ataques começaram após os patches

Instâncias do JFrog Artifactory continuam sendo alvo de múltiplos grupos. Os atacantes exploram três falhas para obter controle administrativo, instalar plugins maliciosos e implantar backdoors, em alguns casos poucos dias após a publicação da correção.

A CVE-2026-42018 é uma falha de autenticação inadequada de alta gravidade. Quando o acesso anônimo está desabilitado, a vulnerabilidade pode devolver a um chamador não autenticado um token de usuário anônimo interno, permitindo o acesso a recursos sensíveis. A correção foi publicada em 12 de agosto. A CVE-2026-42016, também de alta gravidade, permite elevação de privilégios porque o escopo do token não é validado corretamente. JFrog corrigiu essa falha em 27 de julho. A CVE-2026-82329 é crítica e permite que um atacante sem autenticação, com acesso à rede, obtenha privilégios administrativos. O patch saiu em 28 de agosto.

Segundo pesquisadores que informaram o The Register, a exploração da CVE-2026-82329 começou quatro dias depois da divulgação da vulnerabilidade. A rede honeypot da watchTowr observou a criação de novas credenciais administrativas e a enumeração de usuários, grupos, conjuntos de credenciais e topologias de acesso federado. Yordan Ganchev, principal especialista em threat intelligence da watchTowr, destacou essas atividades.

Pesquisadores da Wiz confirmaram a exploração em produção das três vulnerabilidades em múltiplos ambientes e apontaram que a velocidade de correção foi lenta. Seis semanas após a divulgação da CVE-2026-42016, 59% das organizações continuavam vulneráveis. Quatro semanas após a divulgação da CVE-2026-42018, 62% permaneciam expostas. Para a CVE-2026-82329, 49% das organizações ainda estavam vulneráveis duas semanas após a publicação do patch. A JFrog não respondeu às perguntas do The Register sobre os ataques.

Entre 15 de agosto e 8 de setembro, a Wiz registrou múltiplos atacantes combinando a CVE-2026-42018 e a CVE-2026-42016 contra instâncias próprias do Artifactory para obter acesso administrativo. Muitos deles instalaram uma backdoor personalizada em Rust para estabelecer comunicação e controle, conhecidos como C2.

As atividades após a exploração incluíram a criação de contas administrativas persistentes, a instalação de plugins Groovy para execução remota de código, comandos de shell por meio dos plugins, reconhecimento da infraestrutura e busca por arquivos sensíveis. Os invasores também entregaram payloads de segunda etapa e upload de web shells.

Entre 1 de setembro e 8 de setembro, a Wiz observou vários atacantes explorando a CVE-2026-82329. As intrusões não formaram uma cadeia única coordenada por um mesmo ator. Entre