В JFrog Artifactory обнаружена критическая уязвимость CVE-2026-82329 с оценкой CVSS 9.8, позволяющая неаутентифицированному атакующему с сетевым доступом получить административные привилегии в конфигурации по умолчанию. Организациям, использующим самоуправляемые инсталляции Artifactory, необходимо немедленно установить обновления, в первую очередь на системы с доступом из интернета, провести аудит журналов и ротацию учётных данных.
Технические характеристики уязвимости
Согласно записи в GitHub Advisory Database, уязвимость классифицирована как CWE-287 (Improper Authentication) — некорректная аутентификация. Вектор атаки описывается формулой CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, что означает: атака осуществляется по сети, не требует ни привилегий, ни взаимодействия с пользователем, а при успешной эксплуатации достигается полная компрометация конфиденциальности, целостности и доступности.
Описание в реестре CVE прямо указывает: уязвимость позволяет неаутентифицированному атакующему с сетевым доступом получить административные привилегии при конфигурации по умолчанию. Это означает, что каждая инсталляция Artifactory, не прошедшая через дополнительное усиление безопасности, потенциально уязвима сразу после развёртывания.
Затронутые версии
По данным исходного материала, уязвимость затрагивает следующие ветки Artifactory (эти диапазоны требуют дополнительной проверки по официальным рекомендациям JFrog, поскольку в GitHub Advisory Database конкретные версии на момент анализа не указаны):
- 7.161.0 — 7.161.19
- 7.146.0 — 7.146.36
- 7.133.0 — 7.133.28
- 7.125.0 — 7.125.19
- 7.117.0 — 7.117.27
- 7.111.4 — 7.111.21
Исправление, по данным вендора, доступно в версии 7.161.20, выпущенной 28 августа 2026 года.
Оценка воздействия
JFrog Artifactory занимает ключевое положение в инфраструктуре разработки: это центральный репозиторий бинарных артефактов, через который проходят сборки, зависимости и релизы. Административный доступ к такой системе открывает возможности, выходящие далеко за рамки обычной компрометации одного сервиса.
CEO Vercel Гильермо Раух охарактеризовал уязвимость как потенциальную «бомбу удалённого выполнения кода», поскольку Artifactory хранит и распространяет бинарные файлы. Следует подчеркнуть: это оценка риска, а не подтверждённый факт удалённого выполнения кода или компрометации цепочки поставок. Тем не менее логика обоснована: администратор Artifactory может подменять артефакты, модифицировать конвейеры сборки, перемещаться в подключённые производственные системы и потенциально распространять вредоносные изменения на конечных потребителей программного обеспечения.
Наибольшему риску подвержены:
- Организации с самоуправляемыми инсталляциями Artifactory, доступными из интернета
- Компании, использующие конфигурацию по умолчанию без дополнительных мер защиты
- Среды, где Artifactory интегрирован в CI/CD-конвейеры с автоматическим развёртыванием
Статус эксплуатации
Компания watchTowr сообщает о начале эксплуатации уязвимости с 1 сентября 2026 года. Однако эти данные не подтверждены официальными источниками — ни JFrog, ни CISA, ни другими государственными структурами. Включение CVE-2026-82329 в каталог CISA KEV (Known Exploited Vulnerabilities) на момент анализа также не подтверждено. Конкретные индикаторы компрометации — хеши, IP-адреса, домены — в доступных материалах не приводятся, атрибуция к какой-либо известной группировке отсутствует.
Тем не менее сочетание факторов — максимально простой вектор атаки (сеть, без аутентификации, без взаимодействия с пользователем), конфигурация по умолчанию, оценка CVSS 9.8 — делает эксплуатацию весьма вероятной и ожидаемой.
Рекомендации по реагированию
Приоритет реагирования — немедленный для систем с доступом из интернета и высокий для внутренних инсталляций:
- Установите обновление до версии 7.161.20 или соответствующей исправленной версии для вашей ветки. Сверьтесь с официальными рекомендациями JFrog для получения актуального списка исправлений.
- Ограничьте сетевой доступ к Artifactory до завершения обновления: уберите прямой доступ из интернета, используйте VPN или сетевую сегментацию.
- Проверьте журналы аудита на предмет создания новых административных токенов, нетипичных запросов к API управления пользователями и группами, а также любых изменений в конфигурации доступа.
- Выполните ротацию учётных данных: токены доступа, ключи API, сервисные учётные записи, связанные с Artifactory.
- Проверьте целостность артефактов в репозитории, особенно если инсталляция была доступна из интернета. Сравните контрольные суммы критичных бинарных файлов с эталонными значениями.
- Проведите аудит подключённых систем: CI/CD-конвейеры, системы развёртывания, федеративные инсталляции — на предмет несанкционированных изменений или внедрённых бэкдоров.
Учитывая критичность оценки CVSS 9.8, отсутствие необходимости в аутентификации и стратегическое положение Artifactory в цепочке поставок программного обеспечения, обновление самоуправляемых инсталляций следует рассматривать как задачу с наивысшим приоритетом. Организациям, которые не могут оперативно установить патч, необходимо как минимум немедленно закрыть сетевой доступ к Artifactory из интернета и провести аудит существующих административных учётных записей и токенов.
