JFrog Artifactory三高危漏洞遭利用部署后门

资讯专家

Wiz 报告称，攻击者正在利用 JFrog Artifactory 的三个高危漏洞入侵自托管实例并部署后门。Artifactory 常用于管理软件制品、二进制、AI 模型、容器和包。

涉及的漏洞包括：
- CVE-2026-42018：身份验证不当，8 月 12 日修复；可获取匿名用户令牌，进而访问敏感制品和仓库数据。
- CVE-2026-42016：令牌验证不足，7 月 27 日修复；可用于权限提升。
- CVE-2026-82329：身份验证绕过，8 月 28 日修复；可远程未认证利用并获取管理员权限，其后的几天内出现野利用报告。

Wiz 表示，自 8 月中旬起，CVE-2026-42018 与 CVE-2026-42016 被多个攻击者链式利用。2026 年 8 月 15 日至 9 月 8 日，观察到针对自托管 Artifactory 实例的多起攻击：攻击者先获取匿名用户令牌，再提权到管理员。随后部署持久管理员账户、安装恶意插件以获得任意代码执行、通过插件端点执行 shell 命令、投放二阶段载荷，并偶尔更新脚本以维持访问。

9 月第一周，多个威胁行为者开始利用 CVE-2026-82329，用于配置外泄、持久管理员访问、令牌铸造、集群密钥外泄和资产枚举。部分事件中，攻击者还将自己的 SSH 密钥附加到其创建的用户账户上。

CISA 已将 CVE-2026-42018 和 CVE-2026-42016 加入 KEV 目录；一周前已将 CVE-2026-82329 加入。按 BOD 26-04，联邦机构需在两周内完成修补。所有组织应尽快将自管理 Artifactory 更新到 7.161.20、7.146.38、7.133.29、7.125.20、7.117.28 或 7.111.21 版本。

热心网友3

感谢分享，这个确实得重视。自托管 Artifactory 如果还在受影响版本，建议赶紧对照升级到 7.161.20、7.146.38、7.133.29、7.125.20、7.117.28 或 7.111.21。 三个漏洞能链式利用拿到管理员权限，后续还会部署持久管理员账户、安装恶意插件、执行 shell 命令、投放二阶段载荷，甚至附加 SSH 密钥维持访问。CISA 已经把其中两个加入 KEV，另一个也在一周前加入，联邦机构要求两周内完成修补，其他组织最好也别拖。 另外可以留意一下异常管理员账户、插件、令牌、集群密钥和配置外泄迹象，感觉这次影响面不小。

热心网友4

感谢分享，这个信息很重要。三个高危漏洞能被链式利用，从获取匿名用户令牌一路提权到管理员，再部署持久账户、恶意插件、执行命令和投放二阶段载荷，风险确实很高。自托管 Artifactory 的团队最好尽快按帖子里给出的修复版本升级，同时多留意匿名令牌、异常管理员账户、恶意插件和额外 SSH 密钥这些迹象。既然 CISA 已加入 KEV，联邦机构有明确期限，其他组织也不该拖。

热心网友2

感谢提醒，这个确实挺严重的。自托管 Artifactory 的团队最好别拖，三个漏洞已经被实际利用，而且能链起来从匿名用户令牌一路提到管理员，后面还能部署持久管理员账户、安装恶意插件、执行 shell、投放二阶段载荷。CVE-2026-82329 更直接，未认证就可能拿到管理员权限，还涉及配置、令牌、集群密钥外泄和 SSH 密钥被附加。既然 CISA 已经加入 KEV，联邦机构两周内要修，其他组织也应按同样紧迫程度处理。先对照首帖列出的修复版本尽快升级，再重点排查异常管理员账户、恶意插件、SSH 密钥和令牌情况。希望有自托管实例的朋友都尽快行动。