Dos fallos de Artifactory se encadenan para dar control de administrador sin autenticarse

Wiz ha documentado ataques que encadenan dos vulnerabilidades de JFrog Artifactory, el repositorio del que tiran las tuberías de compilación, para hacerse con el control de administrador de servidores autoalojados y dejar puertas traseras. Los dos fallos no valen por separado: hay que usarlos juntos. JFrog ya había publicado los parches antes de que empezaran los ataques que vio Wiz, entre el 15 de agosto y el 8 de septiembre, así que solo quedaron expuestos los servidores sin actualizar.

Cómo se encadena

CVE-2026-42018 hace que Artifactory entregue un token interno del usuario anónimo a quien no ha iniciado sesión, incluso con el acceso anónimo desactivado. CVE-2026-42016 permite canjear ese token de bajo privilegio por otro con alcance de administrador: Artifactory comprueba la firma y quién lo emitió, pero no qué puede hacer. El patrón que vio Wiz es siempre el mismo: petición sin autenticar al endpoint de tokens, token anónimo en mano, canje en el endpoint de creación de tokens. El segundo token conserva el nombre del usuario anónimo, así que las acciones de administrador quedan en los registros como token:anonymous y no bajo una cuenta con nombre. En algunos casos, de la primera petición a una cuenta de administrador nueva pasaron menos de cinco minutos.

En los rangos publicados por JFrog, CVE-2026-42016 termina en 7.133.11, lo que deja fuera las ramas 7.146 y 7.161. El parche de CVE-2026-42018 llegó a la 7.146 el 28 de abril y a la 7.133 el 12 de agosto, tres días antes de los ataques. La cadena, además, alcanza menos compilaciones que cada fallo por su lado: el servidor tiene que estar afectado por los dos, y cerrar cualquiera de ellos la rompe.

Lo que hicieron una vez dentro varió: cuentas de administrador que dejaron puestas, plugins Groovy maliciosos por el sistema de plugins con ejecución de código en el servidor, comandos de shell para explorar y listar ficheros, un dropper que descargaba un binario por HTTP a un directorio escribible como /tmp y abría un canal de mando y control, y en varios casos un backdoor en Rust. Wiz dice que ningún actor hizo todos los pasos.

El tercer CVE va por libre

CVE-2026-82329 es un salto de autenticación crítico, 9,8 en CVSS, que ataca la configuración por defecto y no necesita ningún otro fallo. Un atacante sin autenticar con acceso de red obtiene privilegios de administrador él solo, en seis ramas hasta la 7.161. Fastly contó unos 406.000 intentos de explotación en su plataforma el 2 de septiembre, su día más cargado; son intentos vistos en el tráfico, no compromisos. CISA lo metió en su catálogo de vulnerabilidades explotadas el 2 de septiembre y dio a las agencias federales hasta el 5. En estos servidores los atacantes leyeron la configuración y, en varios casos, se llevaron la clave de unión del clúster.

Parchear no deshace lo hecho

Las cuentas de administrador que crearon no desaparecen al actualizar, y un parche no revoca los tokens ya emitidos. Tampoco devuelve una clave de unión ya robada. Fastly recomienda rotarla, revocar los tokens emitidos desde el 28 de agosto y revisar cuentas de administrador, repositorios y cambios de configuración. Para CVE-2026-82329 hay medida provisional: generar un valor aleatorio y añadirlo como clave de unión extra en system.yaml. Para la cadena no hay opción intermedia en los avisos consultados. La señal más clara al revisar registros es una cuenta haciendo lo que sus privilegios no permiten: el usuario anónimo interno, o cualquier cuenta de bajo privilegio, creando tokens, listando usuarios o leyendo y escribiendo plugins.