CVE-2026-82329: Критична Уразливість Аутентифікації JFrog Artifactory Використовується У Всіх

Критична вразливість обхід аутентифікації в JFrog Artifactory перейшла до активної експлуатації лише через кілька днів після її публічного розголошення. Відстежується як CVE-2026-82329 з оцінкою 9.8 за шкалою CVSS, уразливість може дозволити неавтентифікованому атакуючому з доступом до мережі отримати привілеї адміністратора на уразливих примірниках Artifactory.

JFrog розголосив і виправив проблему 28 серпня 2026 року. До 1 вересня компанія з управління експозицією watchTowr вже спостерігала, як атакуючі експлуатують уразливі системи для генерації адміністративних токенів і перераховують користувачів, групи, облікові дані та відносини об’єднаного доступу.

Критична уразливість JFrog Artifactory особливо небезпечна, тому що Artifactory часто займає привілейоване місце в конвеєрах розробки та доставки програмного забезпечення. Організації використовують його для зберігання та поширення двійкових файлів, контейнерів, пакетів, AI моделей та інших артефактів програмного забезпечення. Адміністративний компроміс може створити можливості не тільки для крадіжки даних, але й для маніпуляцій з ланцюгом поставок програмного забезпечення та латерального переміщення в виробничу інфраструктуру.

Хмарні середовища JFrog вже були захищені постачальником. Організації, що використовують локації Artifactory з самостійним розгортанням, повинні оновитися до виправленої версії, відповідної їх поточній гілці.

Аналіз CVE-2026-82329

Уразливість віднесено до CWE-287: Неправильна аутентифікація. У консультації JFrog зазначено, що “JFrog Artifactory містить слабкість аутентифікації”, яка, при стандартній конфігурації, може дозволити віддаленому атакуючому без облікових даних отримати привілеї адміністратора.

Недолік знаходиться в JFrog Access, компоненті платформи, відповідальному за видачу і перевірку облікових даних. Відповідно до аналізу watchTowr, цитованого The Hacker News, вразливі інсталяції без додаткового ключа приєднання можуть отримати те, що дослідники описують як “фантомний” ключ приєднання. Атакуючий може скористатися цією умовою для підробки доступу і генерації токена адміністратора.

Це робить уразливість значно більш серйозною, ніж звичайний недолік розголошення інформації. Атакуючому не потрібно спочатку викрадати дійсне ім’я користувача, пароль, API ключ або сесію. Вектор CVSS підтверджує експлуатацію на основі мережі зі складністю низького рівня, без необхідності привілеїв і без взаємодії з користувачем. Конфіденційність, цілісність і доступність оцінені як такі, що мають велику потенційну небезпеку.

Найважливіші деталі CVE-2026-82329 стосуються того, що атакуючі можуть робити після обходу кордону аутентифікації. WatchTowr спостерігав, як загрозові актори карбували токени адміністратора, а потім використовували ці привілеї для інспекції середовища та визначення, чи було воно достатньо цінним для глибшої експлуатації.

Спостережувана післяексплуатаційна діяльність включала перерахунок:

• Існуючих користувачів Artifactory
• Груп користувачів
• Токенів аутентифікації та наборів облікових даних
• Відносин об’єднаного доступу
• Іншої інформації, корисної для розуміння того, як середовище Artifactory підключається до навколишньої інфраструктури

У обмеженій кількості атак, загрозові актори пішли далі і створили користувачів з бекдорами, встановлюючи додатковий шлях для стійкого адміністративного доступу.

Критична уразливість JFrog Artifactory, що експлуатувалася, створює ширше занепокоєння в питанні безпеки через те, що Artifactory часто є частиною конвеєрів CI/CD та робочих процесів розподілу програмного забезпечення. Адміністративний доступ може дозволити супротивнику оглянути сховища, змінити конфігурацію, отримати доступ до зберіганих облікових даних або потенційно втрутитися в артефакти, які згодом споживаються системами збірки та розгортання.

WatchTowr попередив, що компрометація централізованої платформи ланцюга постачання програмного забезпечення може дозволити атакуючим замахнутися на збірочні конвеєри, переміститися в бік виробничої інфраструктури або внести зловмисні зміни, які зрештою можуть просовуватися вниз по ланцюгу. Наявні звіти не підтверджують, що ці більш серйозні сценарії ланцюга поставок сталися в спостережуваних атаках, але компрометація адміністратора робить їх реалістичними ризиками після експлуатації.

CVE-2026-82329 впливає на кілька підтримуваних гілок Artifactory 7.x. JFrog перераховує вразливі та виправлені версії наступним чином:

• 7.161.x: оновити до 7.161.20
• 7.146.x: оновити до 7.146.38
• 7.133.x: оновити до 7.133.29
• 7.125.x: оновити до 7.125.20
• 7.117.x: оновити до 7.117.28
• 7.111.x: оновити до 7.111.21

JFrog оприлюднив уразливість 28 серпня 2026 року. Точна дата і обставини першовідкриття не були публічно розголошені у консультації постачальника. Вражає те, з якою швидкістю слідувала експлуатація за розголошенням: реалізована діяльність watchTowr почалася вже 1 вересня, лише через чотири дні після того, як консультація та виправлення стали публічними.

Глобальна мережа honeypotів WatchTowr спочатку спостерігала експлуатацію, що походила з відносно невеликої кількості IP-адрес по різних географічних регіонах. Дослідники стверджують, що активність ще не розвивалася в широкомасштабні масові сканування на момент їхнього звіту.

Деякі спроби зупинялися, як тільки перевіряли, що експлуатація працює. Інші продовжували перераховувати скомпрометовану інстанцію, натякаючи, що атакуючі оцінювали вразливі середовища, перш ніж вирішити, чи продовжувати глибше вторгнення.

Також почали з’являтися публічні технічні відомості про відтворення. Кавтована після розголошення PoC показує неавтентифікований шлях до генерації токена адміністратора проти вразливої зборки Artifactory і демонструє, що така ж спроба відхилена виправленою версією. Це ще більше підвищує терміновість оновлення уразливих систем, оскільки експлуатація вже не вимагає самостійного зворотного інжинірингу уразливості з нуля.

На момент звітування активність не була приписана якомусь конкретному операції з програмним забезпеченням-вимагачем, державній спонсорованій групі або іншому встановленому актору загрози. Також не було свідчень того, що експлуатація досягла рівнів широкоавтоматизованих сканувань.

В даний час немає комплексного набору індикаторів компрометації (IOC) CVE-2026-82329, опублікованих постачальником, які здатні надійно ідентифікувати кожну спробу експлуатації. Спостережувані атаки натомість надають поведінкові індикатори: несподівані адміністративні токени, несанкціоновані користувачі, незвичайне перерахування облікових записів і доступ до інформації аутентифікації федерації мають розглядатися як потенційні ознаки компрометації.

Зв’язатися з відділом продажів

Пом’якшення CVE-2026-82329

JFrog рекомендує організаціям, що керують розгортаннями Artifactory з самостійним керуванням, негайно оновитися до виправленої версії, що підходить для їхньої гілки випусків. Постачальник підтверджує, що уражені хмарні середовища вже були укріплені і не потребують дій клієнтів для цього конкретного питання.

Клієнти з самостійним розгортанням повинні оновитися до однієї з наступних версій або новішого підтримуваного випуску з виправленням:

• 7.161.20
• 7.146.38
• 7.133.29
• 7.125.20
• 7.117.28
• 7.111.21

Оскільки активна експлуатація почалася протягом днів після розголошення, інстанції, що піддаються впливу Інтернету, повинні отримати пріоритет найвищого рівня патчування. Організації не повинні покладатися тільки на відсутність очевидної зловмисної активності, особливо тому, що деякі спостережувані атакуючі виглядали так, що перевіряють уразливість і зупиняються, можливо, залишаючи мало видимих артефактів після експлуатації.

Виявлення CVE-2026-82329 повинно початися з ідентифікації всіх самокерованих інстанцій Artifactory і порівняння їхніх точних версій зі вразливими діапазонами JFrog. Команди безпеки повинні потім визначити, які системи піддаються впливу небезпечних мереж, і пріоритизувати ці інстанції як для патчування, так і для ретроспективного дослідження.

Для виявлення експлуатації CVE-2026-82329 або після компромісної діяльності захисники повинні переглянути аудиторські дані Artifactory і JFrog Access за наступними ознаками:

• Несподівані токени на адміністративному рівні
• Токени, створені без відповідної дії легітимного адміністратора
• Новостворені або будь-які інші облікові записи
• Незвичайне перерахування користувачів і груп
• Запити, що перераховують інформацію токенів або облікових даних
• Раптова адміністративна активність, що походить від незнайомих IP-адрес
• Зміни в сховищах або дозволах після підозрілої активності аутентифікації
• Нові відносини доступу між Artifactory і підключеною інфраструктурою розробки
• Несподівані зміни в артефактах, конфігурації збірки або налаштуваннях сховища

Команди безпеки повинні звернути особливу увагу на адміністративні токени, створені в часі підозрілих неавтентифікованих запитів. Реальні атаки, спостережені watchTowr, показують, що карбування токенів є центральною частиною шляху експлуатації.

Оновлення може бути недостатньо для інстанції Artifactory, що була піддана впливу до виправлення. Якщо атакуючий успішно згенерував облікові дані адміністратора, ті облікові дані або облікові записи бекдора можуть залишатися придатними для використання після виправлення основної вразливості.

Організації повинні, отже, перевірити історичні журнали аудиту і змінити облікові дані, які могли бути піддані впливу. The Hacker News рекомендує переглянути активність аудиту, змінити постраждалі облікові дані та перевірити підключені системи на предмет несанкціонованих змін або стійкого доступу.

Відповідальні за реагування на інциденти також повинні переглянути:

• Облікові записи адміністратора Artifactory
• Токени доступу та ідентифікаційні токени
• Дозволи сховища
• Відносини федерації
• Облікові дані інтеграції CI/CD
• Секрети системи збірки
• Цілісність пакетів і артефактів
• Нещодавно змінені двійкові файли та образи контейнерів
• Системи, які можна досягти, використовуючи облікові дані, збережені в Artifactory або які до нього доступні

У разі підтвердження компрометації команди повинні розглянути потенційний вплив на ширший ланцюг поставок програмного забезпечення, а не трактувати подію як ізольований інцидент облікового запису Artifactory. Зловмисний адміністратор міг мати можливість проінспектувати або змінити активи, які згодом споживаються системами розробки, розгортання або виробництва.

Процес пом’якшення CVE-2026-82329 має, таким чином, поєднувати негайне оновлення з обігом облікових даних, перевіркою облікових записів, валідацією цілісності артефактів і полюванням на загрози в підключеній інфраструктурі CI/CD.