Luka w samodzielnie hostowanym JFrog Artifactory pozwala zamienić token o niskich uprawnieniach na token administratora. Ataki są potwierdzone. Zaktualizuj do 7.133.11 lub nowszej i sprawdź konta.
Ten alert jest dla zarządu, CTO i CFO firm, które tworzą oprogramowanie i trzymają jego komponenty w samodzielnie hostowanym JFrog Artifactory. Werdykt: jeśli Twój serwer Artifactory ma wersję starszą niż 7.133.11, zaktualizuj go dziś i sprawdź, czy nie pojawiły się nowe konta administratorów, bo napastnicy już przejmują takie serwery i zostawiają w nich tylne drzwi.
11 września 2026 roku amerykańska agencja CISA dopisała CVE-2026-42016 do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach. Luka w JFrog Artifactory pozwala użytkownikowi z tokenem o niskich uprawnieniach zamienić go na token administratora, bo system sprawdza, kto wystawił token, ale nie sprawdza, do czego on uprawnia.
Według firmy Wiz napastnicy od 15 sierpnia 2026 roku łączą tę lukę z drugą, CVE-2026-42018, która daje token bez logowania. Razem pozwalają przejąć serwer bez hasła, czasem w mniej niż pięć minut. JFrog opublikował informację o luce 27 lipca 2026 roku; instancje w chmurze JFrog są już zabezpieczone, instalacje własne trzeba zaktualizować.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-42016 |
Data dodania do CISA KEV | 2026-09-11 |
Termin naprawy wg CISA | 2026-09-25 |
Produkt | JFrog Artifactory, instalacje samodzielnie hostowane (Self Hosted); chmura JFrog nie wymaga działań |
Wersje zagrożone | Wszystkie wersje starsze niż 7.133.11. Atak wymaga tokenu o niskich uprawnieniach; w obserwowanych atakach napastnicy zdobywali go bez logowania przez CVE-2026-42018 (wersje poniżej 7.111.20 oraz 7.117 do 7.117.27, 7.125 do 7.125.19, 7.133 do 7.133.28, 7.146 do 7.146.8) |
Wersje bezpieczne | Wg JFrog: 7.133.11 i nowsze. Ze względu na powiązane luki zalecane jest najnowsze wydanie wspieranej gałęzi, np. 7.161.29 z 15 września 2026 |
Typ podatności | Podniesienie uprawnień przez niepoprawną autoryzację tokenu; CWE-863 |
Ocena CVSS | 8.1 WYSOKA (CVSS 3.1, JFrog): atak przez sieć, niskie uprawnienia, bez udziału użytkownika, wysoki wpływ na poufność i integralność. 8.8 WYSOKA (CVSS 3.1, NVD): dodatkowo wysoki wpływ na dostępność |
Wyobraź sobie magazyn części, z którego fabryka pobiera wszystko do produkcji. Każdy pracownik ma przepustkę z hologramem i opisem, do których regałów ma wstęp. Strażnik przy drzwiach sprawdzał jednak tylko hologram, a nie opis. Ktoś z przepustką gościa mógł więc poprosić o przepustkę kierownika magazynu i ją dostać, bo „hologram jest prawdziwy”.
Tak działa ta luka. Artifactory przechowuje gotowe biblioteki, obrazy kontenerów i paczki, z których firmowe systemy budują oprogramowanie. Token dostępu to cyfrowa przepustka. Serwer sprawdzał, czy token wystawił on sam, ale nie sprawdzał jego zakresu. Napastnik z tokenem o minimalnych prawach mógł uzyskać token administratora i przejąć cały magazyn, a przez niego wpływać na to, co trafia do produkcji.
💡 Artifactory to repozytorium artefaktów: centralny magazyn gotowych komponentów oprogramowania, z którego korzystają programiści i automatyczne linie budowania (CI/CD). Token to cyfrowy klucz dostępu używany zamiast hasła przez ludzi i automaty. Zakres tokenu (scope) określa, co wolno zrobić jego posiadaczowi. Łańcuch dostaw oprogramowania to cała droga kodu od komponentów do produktu u klienta.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Token o niskich uprawnieniach | Tylko odczyt wybranych repozytoriów | Wymiana na token administratora |
Konta administratorów | Tworzone przez zespół IT | Tworzone po cichu przez napastnika |
Komponenty pobierane przez linie budowania | Zaufane i niezmienione | Mogą zostać podmienione |
Ślady w logach | Działania przypisane do konkretnych osób | Działania widoczne jako anonimowy token |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku oparty na obserwacjach Wiz, bez szczegółów technicznych. Sama CVE-2026-42016 wymaga tokenu; w opisanych atakach napastnicy zdobywali go bez logowania dzięki drugiej luce, CVE-2026-42018.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Znalezienie celu | T+0 | Wyszukanie serwerów Artifactory dostępnych z sieci | Lista niezałatanych instancji |
2. Zdobycie tokenu | T+1 min | Wykorzystanie CVE-2026-42018 albo skradzionego tokenu użytkownika | Token o niskich uprawnieniach |
3. Podniesienie uprawnień | T+2 min | Wykorzystanie CVE-2026-42016 | Token administratora |
4. Utrwalenie | T+5 min | Założenie własnego konta administratora | Stały dostęp mimo późniejszej aktualizacji |
5. Przejęcie serwera | T+godziny | Instalacja złośliwej wtyczki i backdoora | Wykonywanie poleceń na serwerze |
6. Wykorzystanie | T+dni | Kradzież danych dostępowych, możliwa podmiana komponentów | Zagrożenie dla produktów i klientów |
Artifactory to punkt, przez który przechodzi całe oprogramowanie firmy. Przejęcie go nie oznacza tylko wycieku danych: może oznaczać, że to Twoja firma rozsyła klientom zainfekowane aktualizacje. Według Wiz sześć tygodni po ujawnieniu luki 59% organizacji używających Artifactory wciąż miało podatną instancję.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie wydań i wdrożeń na czas analizy i odbudowy repozytorium | Dni | 50 tys. do 300 tys. PLN (przestój zespołów, odbudowa) |
Bezpieczeństwo danych | Kradzież tokenów, haseł do chmury, kodu i paczek | Minuty do godzin od wejścia | 50 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana poświadczeń) |
Finansowy | Kary umowne, koszty incydentu u klientów, utracone projekty | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Firma jako źródło ataku na łańcuch dostaw klientów | Tygodnie do miesięcy | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Odpowiedzialność wobec klientów; przy danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Artifactory Self Hosted < 7.133.11
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo ataki są potwierdzone przez CISA i Wiz; wpływ oceniamy jako wysoki, bo sama luka wymaga tokenu. Jeśli serwer jest też podatny na CVE-2026-42018 i dostępny z internetu, ryzyko należy traktować jako krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję każdej instancji Artifactory Self Hosted | Dziś | Zespół DevOps |
2 | 🔴 NATYCHMIAST | Zaktualizować do najnowszego wydania wspieranej gałęzi (co najmniej 7.133.11, z poprawkami dla CVE-2026-42018 i CVE-2026-82329) | Dziś | Zespół DevOps |
3 | 🔴 NATYCHMIAST | Przejrzeć listę kont administratorów i tokenów; usunąć nieznane | Dziś | Zespół bezpieczeństwa |
4 | 🟠 PILNIE | Przejrzeć logi pod kątem działań administracyjnych wykonanych jako token anonimowy i nowych wtyczek | Do 2 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła i tokeny przechowywane w Artifactory (chmura, rejestry, integracje) | Do 3 dni | Zespół DevOps |
6 | 🟠 PILNIE | Ograniczyć dostęp do Artifactory z internetu (VPN, lista dozwolonych adresów) | Do 3 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Sprawdzić integralność kluczowych paczek i obrazów wydanych od sierpnia 2026 | Do 14 dni | Kierownik zespołu programistów |
JFrog nie podaje obejścia dla CVE-2026-42016; jedyną zalecaną drogą jest aktualizacja. Nowe wersje dla instalacji własnych wymagają zalogowania do portalu JFrog, więc warto od razu sprawdzić dostęp do konta. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do Artifactory tylko z sieci firmowej lub przez VPN | Wysoka wobec atakujących z zewnątrz | Średnia |
Usunięcie zbędnych i starych tokenów, skrócenie ich ważności | Średnia | Łatwa |
Aktualizacja usuwająca CVE-2026-42018 (przerywa obserwowany łańcuch) | Średnia: nie chroni przed skradzionym tokenem | Średnia |
Alerty na nowe konta administratorów i nowe wtyczki | Średnia: wykrywa, nie blokuje | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Artifactory | Starsza niż 7.133.11 | Najnowsze wydanie wspieranej gałęzi |
Konta administratorów | Nikt nie weryfikował listy | Lista sprawdzona, nieznane konta usunięte |
Sekrety w repozytorium | Te same od miesięcy | Wymienione |
Dostęp z internetu | Otwarty | Tylko VPN lub zaufane adresy |
Zaufanie do paczek | Zakładane | Zweryfikowane dla kluczowych wydań |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA; Wiz obserwował ataki od 15 sierpnia do 8 września 2026) |
Grupy przestępcze | Brak publicznych informacji o nazwach; Wiz opisuje wielu różnych napastników |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA (JFrog, CVSS 3.1); 8.8 WYSOKA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznego PoC dla tej luki w znanych źródłach; przebieg ataków opisał Wiz |
Liczba atakowanych firm | Brak publicznych danych o ofiarach; wg Wiz 59% organizacji z Artifactory nadal miało podatną instancję 6 tygodni po ujawnieniu |
Kto wykrył błąd | Kostya Kortchinsky (OpenAI), wg rekordu CVE |
Odsetek organizacji z podatną instancją (dane Wiz)
Publikacja CVE (27.07) 67% █████████████░░░░░░░
Po 6 tygodniach 59% ████████████░░░░░░░░ 2026-02-18 Wydanie Artifactory 7.133.10 (ostatnie przed 7.133.11 w notach wydań)
2026-03-02 Wydanie Artifactory 7.133.12
2026-04-28 Poprawka CVE-2026-42018 dla gałęzi 7.146 (wg The Hacker News)
2026-07-27 JFrog publikuje CVE-2026-42016
2026-08-12 JFrog publikuje CVE-2026-42018; poprawka dla gałęzi 7.133
2026-08-15 Początek ataków łańcuchem obu luk (Wiz)
2026-09-08 Ostatnie ataki opisane w raporcie Wiz
2026-09-10 Raport Wiz o atakach
2026-09-11 CISA dodaje lukę do katalogu KEV
2026-09-17: TUTAJ JESTEŚMY
2026-09-25 Termin naprawy wg CISA Biuletyn JFrog z wersjami poprawek: JFrog Security Advisories . Noty wydań: Artifactory Self-Managed Releases . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-42016 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę instancji Artifactory z wersjami i informacją o dostępie z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację, nawet kosztem krótkiej przerwy w budowaniu | CTO | DZISIAJ |
3 | Zlecić przegląd kont administratorów i logów od 27 lipca 2026 | CTO | DZISIAJ |
4 | Ustalić, jakie sekrety klientów i chmury są w repozytorium i kto je wymieni | CTO | DO JUTRA |
5 | Sprawdzić umowy z klientami pod kątem obowiązku zgłoszenia incydentu w łańcuchu dostaw | CFO | DO JUTRA |
6 | Potwierdzić, że firma ma aktywne konto w portalu JFrog do pobierania wydań | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dla incydentów w łańcuchu dostaw | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Artifactory działa na każdej naszej instancji? | [wersja] | 🔴 |
2 | Czy Artifactory jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowaliśmy do wersji 7.133.11 lub nowszej? | [data] | 🔴 |
4 | Czy lista administratorów zawiera konta, których nikt nie zna? | TAK / NIE | 🔴 |
5 | Czy w logach są działania administracyjne wykonane jako token anonimowy? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio wymieniliśmy tokeny i hasła przechowywane w Artifactory? | [data] | 🟠 |
7 | Czy weryfikujemy podpisy lub sumy kontrolne paczek przed wydaniem produktu? | TAK / NIE | 🟡 |
CVE-2026-42016 pozwala zamienić zwykły token Artifactory na token administratora, a w połączeniu z CVE-2026-42018 napastnicy przejmują serwery bez logowania i zostawiają w nich tylne drzwi. Poprawka istnieje, ale według Wiz większość organizacji wciąż jej nie wdrożyła. Aktualizacja do najnowszej wersji, przegląd kont administratorów i wymiana sekretów to zadania na dziś, bo stawką jest bezpieczeństwo oprogramowania dostarczanego klientom.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.