Falha crítica no JFrog Artifactory permite forjar tokens de administrador sem login

Uma falha crítica de autenticação no JFrog Artifactory, o repositório de artefatos de software usado por empresas para armazenar e distribuir pacotes de build, está sendo explorada ativamente poucos dias depois de ter sido corrigida. Identificada como CVE-2026-82329 e com pontuação 9,8 de 10 na escala CVSS, a falha permite que um atacante não autenticado com acesso à rede forje tokens de administrador em instâncias autogerenciadas do Artifactory rodando com a configuração padrão — sem necessidade de credenciais, interação do usuário ou acesso prévio.

A JFrog divulgou e corrigiu a vulnerabilidade em 28 de agosto de 2026, lançando versões corrigidas em seis linhas de release: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 e 7.161.20. Segundo a empresa de segurança ofensiva watchTowr, que foi a primeira a sinalizar exploração ativa, os ataques começaram antes mesmo da divulgação pública do patch e se intensificaram após a revelação, que deu aos atacantes um roteiro mais claro da falha. Até 1º de setembro, os honeypots da watchTowr já registravam tentativas de exploração vindas de múltiplas localizações geográficas.

A causa raiz é uma lacuna de configuração, não um erro de código: instâncias do JFrog Access que não têm uma chave de associação (join key) configurada explicitamente recorrem, por padrão, a uma chave «fantasma» previsível, que atacantes podem explorar para forjar as credenciais que o Artifactory usa para confiar em requisições administrativas. Como a falha reside em um estado padrão, e não em uma má configuração introduzida pelos próprios usuários, qualquer implantação autogerenciada que nunca tenha configurado uma chave de associação personalizada fica exposta desde a instalação.

Isso importa muito além da base de clientes da própria JFrog. O Artifactory está no centro das cadeias de suprimento de software — é onde as organizações armazenam artefatos de build, imagens de contêiner e pacotes que são automaticamente puxados para pipelines de CI/CD e sistemas de produção. «O acesso administrativo ao Artifactory alcança artefatos publicados nos quais sistemas downstream já confiam e que baixam automaticamente», explicou Collin Hogue-Spears, da Black Duck, descrevendo por que essa falha é perigosa mesmo não sendo uma execução remota de código no sentido tradicional.

Depois que os atacantes forjam um token de administrador, pesquisadores afirmam ter observado a enumeração de usuários, grupos e tokens de acesso existentes, o mapeamento de relações de acesso federado entre sistemas conectados e, em um número menor de casos, a criação de contas backdoor para preservar o acesso mesmo depois que a brecha original é corrigida. O risco mais grave — adulterar ou envenenar artefatos que outros sistemas buscam automaticamente — está ao alcance de qualquer um que possua um token de administrador forjado, transformando um único repositório exposto em um possível ponto de entrada para um comprometimento muito mais amplo da cadeia de suprimento.

O serviço SaaS hospedado da JFrog não foi afetado; a exposição se limita a implantações autogerenciadas do Artifactory que rodam com a configuração padrão vulnerável. «Isso passou da divulgação para a exploração real com uma eficiência incômoda», disse Yordan Ganchev, da watchTowr. «Quem está acompanhando sabe o que vem a seguir: as coisas vão piorar.»

Organizações que rodam o Artifactory de forma autogerenciada devem aplicar imediatamente uma das versões corrigidas e não devem presumir que a ausência de uma chave de associação configurada explicitamente é um padrão inofensivo — é exatamente a condição da qual o exploit depende. Diante dos relatos de contas backdoor, equipes que rodavam uma versão afetada antes de 28 de agosto também devem auditar usuários e tokens de administrador existentes em busca de qualquer coisa que não tenham criado, e não apenas aplicar o patch e seguir em frente.

Conforme relatado por The Hacker News e BleepingComputer.