Atacantes encadeiam três falhas do JFrog Artifactory para implantar backdoors Rust dentro de pipelines de build do Fortune 100

Atacantes encadearam três vulnerabilidades no JFrog Artifactory para assumir o controle administrativo de instâncias self-hosted, implantar uma backdoor em Rust e manter acesso persistente em uma campanha de 24 dias. Os pesquisadores da Wiz alertaram que entre 49% e 62% das instâncias Artifactory acessíveis publicamente permanecem vulneráveis a pelo menos uma das três falhas.

O JFrog Artifactory é o repositório de artifacts mais utilizado no mundo DevOps, presente no pipeline de build de 83% das empresas do Fortune 100. Uma instância Artifactory comprometida é um ponto de staging a partir do qual os atacantes podem envenenar artifacts de software antes de chegarem aos ambientes de produção.

Como funciona a cadeia de ataque

A campanha explorou CVE-2026-42018 para extrair tokens JWT, depois CVE-2026-42016 para escalar privilégios ao nível de administrador. CVE-2026-82329 é um bypass de autenticação independente com CVSS 9,8 que permite a um atacante não autenticado forjar tokens de administrador diretamente. A Wiz observou que alguns atacantes levaram menos de cinco minutos do primeiro contato até a criação de uma conta de administrador.

Com acesso de administrador, instalaram plugins Groovy maliciosos para executar comandos arbitrários e implantaram uma backdoor personalizada em Rust com capacidades de comando e controle.

O que fazer agora

As organizações devem atualizar para a versão 7.111.21 ou posterior e auditar imediatamente suas instâncias: contas de administrador não autorizadas, tokens suspeitos, plugins Groovy inesperados e conexões de rede de saída incomuns. Como a backdoor Rust pode sobreviver ao patch, as organizações devem assumir que instâncias vulneráveis durante agosto-setembro podem estar comprometidas e rotacionar todas as credenciais.