Злоумышленники связали уязвимости JFrog Artifactory, получили права администратора и установили бэкдоры

По данным Wiz, атакующие использовали цепочку двух уязвимостей в self-hosted JFrog Artifactory: сначала получили токен для анонимного пользователя, затем обменяли его на токен с правами администратора и создали админ-аккаунты и бэкдоры. Атаки зафиксированы с 15 августа по 8 сентября; пострадали только непатченные серверы. Отдельная критическая уязвимость CVE-2026-82329 (CVSS 9.8) эксплуатировалась с 1 по 8 сентября и сама по себе даёт админ-доступ на ряде веток.

Владельцам self-hosted Artifactory нужно немедленно обновиться до фиксированных сборок для своей ветки или применить обход (добавить дополнительный join key в system.yaml), поскольку на скомпрометированных серверах обнаружены вредоносные Groovy-плагины, бинарники и кастомные Rust-бэкдоры, а также оставлены админ-аккаунты. Поскольку цепочка требует наличия обеих уязвимостей, устранение любой из них ломает подобную атаку, но критическая уязви