Una cadena de fallos en JFrog Artifactory da a atacantes control admin y puerta trasera en minutos

Ataques reales contra JFrog Artifactory autoalojado han combinado varios CVE para pasar de peticiones sin autenticar a privilegios de administrador. El objetivo va más allá del acceso: crear persistencia, desplegar backdoors y abrir la puerta a un posible compromiso de la cadena de suministro de software.

Entre el 15 de agosto y el 8 de septiembre de 2026, varias instancias autoalojadas de JFrog Artifactory han recibido ataques que terminan con control administrativo, creación de cuentas persistentes y despliegue de backdoors. La ventana temporal importa porque no hablamos de una prueba de concepto aislada, sino de intrusiones completas que, en algunos casos, han pasado del acceso inicial a un nuevo administrador en menos de cinco minutos.

La primera vía se apoya en el encadenamiento de CVE-2026-42018 y CVE-2026-42016. El fallo CVE-2026-42018 permite obtener un token interno asociado al usuario anónimo sin iniciar sesión, incluso si el acceso anónimo está desactivado. Con ese punto de apoyo, CVE-2026-42016 facilita cambiar un token de bajo privilegio por otro con alcance de administrador: la validación comprueba firma y emisor, pero no el alcance real del token, un detalle que convierte un acceso mínimo en una llave maestra.

Ese salto tiene otra consecuencia incómoda: ciertas acciones administrativas pueden quedar reflejadas en los registros como token:anonymous, no como una cuenta nominal. Para los equipos de seguridad, eso complica el análisis forense y puede retrasar la detección, sobre todo si el servidor está expuesto a Internet y gestiona repositorios con alto valor para el desarrollo.

Los atacantes han usado después el propio ecosistema de Artifactory para afianzarse. Se han instalado plugins Groovy maliciosos mediante el framework de plugins, lo que habilita ejecución de código en el servidor. A partir de ahí, se han ejecutado comandos de shell mediante un endpoint de ejecución de plugins, con tareas típicas de reconocimiento y enumeración de ficheros. También aparece un dropper que descarga un binario por HTTP, lo escribe en rutas de escritura global como /tmp y abre un canal de mando y control. En varios casos, el despliegue culmina con un backdoor en Rust orientado a control remoto.

En paralelo, se ha explotado de forma independiente CVE-2026-82329 entre el 1 y el 8 de septiembre de 2026. Este fallo, catalogado como bypass de autenticación crítico con CVSS 9.8, permite obtener privilegios administrativos sin necesidad de encadenar otros defectos y afecta especialmente a configuraciones por defecto en Artifactory autoalojado. La explotación observada incluye la creación de tokens de administrador y la enumeración de usuarios, grupos y conjuntos de credenciales, un patrón que encaja con preparativos para persistencia y movimientos posteriores.

La prioridad pasa por actualizar. Los parches de CVE-2026-82329 llegan en 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 y 7.161.20, según la rama 7.x desplegada. En el caso de la cadena CVE-2026-42018 más CVE-2026-42016, basta con corregir al menos uno de los dos fallos para romper el ataque, aunque la recomendación práctica es aplicar todas las correcciones disponibles y priorizar las instancias expuestas a Internet.

Si actualizar no resulta inmediato, existe una contención rápida para CVE-2026-82329: configurar una extra join key aleatoria en system.yaml. Aun así, conviene actuar como si el servidor ya estuviera bajo presión: revisar los audit logs en busca de acciones administrativas asociadas a token:anonymous y a la creación de nuevas cuentas con privilegios elevados, rotar credenciales y tokens potencialmente expuestos, y auditar cambios en usuarios, grupos y topologías de acceso federado.

El control técnico no debe quedarse en la aplicación. Toca inspeccionar el entorno en busca de plugins Groovy no autorizados y eliminar extensiones sospechosas, además de comprobar el sistema de ficheros y tareas programadas para localizar binarios en rutas como /tmp y señales de persistencia o conexiones de mando y control. Y hay un último frente que preocupa especialmente en equipos DevOps: verificar la integridad de repositorios y artefactos críticos y reforzar controles de publicación y promoción en la cadena CI/CD, porque un Artifactory comprometido no solo expone secretos, también puede convertirse en un punto de inyección de componentes maliciosos en software legítimo.

Más información

• Securitydone – Attackers Chain JFrog Artifactory Flaws to Gain Admin Control and Plant Backdoors : https://securitydone.com/attackers-chain-jfrog-artifactory-flaws-to-gain-admin-control-and-plant-backdoors/
• The Hacker News – Attackers Exploit Critical JFrog Artifactory Flaw to Mint Admin Tokens Days After Disclosure : https://thehackernews.com/2026/09/attackers-exploit-critical-jfrog.html?m=1
• SecurityWeek – Critical JFrog Artifactory Vulnerability Reportedly Exploited in the Wild : https://www.securityweek.com/critical-jfrog-artifactory-vulnerability-reportedly-exploited-in-the-wild/
• JFrog – JFrog Security Advisories : https://docs.jfrog.com/releases/docs/jfrog-security-advisories

La entrada Una cadena de fallos en JFrog Artifactory da a atacantes control admin y puerta trasera en minutos se publicó primero en Una Al Día.