Lỗ hổng JFrog Artifactory bị khai thác để chiếm quyền quản trị
"Attackers chained two JFrog Artifactory flaws, CVE-2026-42018 and CVE-2026-42016, to turn an unauthenticated request into administrator-scoped access on unpatched self-hosted servers. The resulting compromise enabled creation of admin accounts, malicious Groovy plugins, shell execution, and deployment of backdoors; JFrog had already released fixes for the affected branches, and a separate critical issue, CVE-2026-82329, was also exploited independently."
CVE-2026-42018 và CVE-2026-42016 có thể bị chuỗi hóa để đạt quyền quản trị; các máy chủ self-hosted chưa vá có nguy cơ bị cài backdoor và thực thi mã từ xa.
Có thể ảnh hưởng đến chuỗi cung ứng phần mềm, làm gián đoạn pipeline build và buộc phải xử lý tài khoản, token, secret đã bị lộ hoặc bị tạo trái phép.
Các nhà nghiên cứu ghi nhận kẻ tấn công đã kết hợp hai lỗ hổng trong JFrog Artifactory là CVE-2026-42018 và CVE-2026-42016 để biến một yêu cầu không xác thực thành quyền truy cập ở mức administrator trên các máy chủ self-hosted chưa cập nhật. Theo báo cáo, chiến dịch diễn ra trong giai đoạn 15/8 đến 8/9, và chỉ ảnh hưởng đến các hệ thống chưa cài bản vá.
Chuỗi khai thác này cho phép kẻ tấn công tạo tài khoản quản trị, cài Groovy plugin độc hại, thực thi lệnh qua shell và triển khai backdoor. Một số trường hợp còn ghi nhận việc tải xuống mã độc qua HTTP và mở kênh command-and-control. Đáng chú ý, các hành động quản trị có thể xuất hiện trong log dưới tên token:anonymous, gây khó khăn cho việc truy vết.
JFrog đã phát hành bản sửa cho các nhánh bị ảnh hưởng; với CVE-2026-82329, một lỗ hổng authentication bypass riêng biệt, nhà cung cấp cũng công bố bản vá và khuyến nghị cấu hình bổ sung nếu chưa thể nâng cấp ngay. Khuyến nghị kỹ thuật là nâng cấp ngay lên bản đã sửa theo đúng nhánh phát hành, kiểm tra tài khoản quản trị và xoay vòng token/secret nếu hệ thống từng bị lộ.