Luka w JFrog Artifactory daje token bez logowania, a w połączeniu z CVE-2026-42016 uprawnienia administratora. CISA i Wiz potwierdzają ataki z backdoorami. Zaktualizuj instancję i sprawdź konta.
Ten alert jest dla zarządu, CTO i CFO firm, które tworzą oprogramowanie i przechowują pakiety, kontenery lub biblioteki w JFrog Artifactory na własnych serwerach. Werdykt: jeśli macie samodzielnie utrzymywany Artifactory, zaktualizujcie go dziś do wersji zalecanej dla Waszej gałęzi (np. 7.146.38 lub 7.161.20) i sprawdźcie, czy nie pojawiły się nowe konta administratora; instancje w chmurze JFrog producent zabezpieczył sam.
Amerykańska agencja CISA 11 września 2026 roku dopisała CVE-2026-42018 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam powiązana luka CVE-2026-42016, a 2 września krytyczna CVE-2026-82329 w tym samym produkcie. Sama CVE-2026-42018 pozwala osobie z internetu, bez logowania, uzyskać wewnętrzny token użytkownika anonimowego, nawet jeśli dostęp anonimowy jest wyłączony.
Według firmy Wiz, która opisała ataki 10 września 2026 roku, przestępcy od 15 sierpnia łączyli tę lukę z CVE-2026-42016 i w ten sposób zdobywali uprawnienia administratora. JFrog wydał poprawkę 12 sierpnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-42018 |
Data dodania do CISA KEV | 2026-09-11 |
Termin naprawy wg CISA | 2026-09-25 (14 dni od wpisu) |
Produkt | JFrog Artifactory w wersji samodzielnie utrzymywanej (self-hosted). Według JFrog środowiska chmurowe zostały już zabezpieczone |
Wersje zagrożone | Przed 7.111.20; 7.117.0 do 7.117.27; 7.125.0 do 7.125.19; 7.133.0 do 7.133.28; 7.146.0 do 7.146.8 (wersje końcowe już poprawione) |
Wersje bezpieczne | Minimalne wg JFrog dla tej luki: 7.111.20, 7.117.27, 7.125.19, 7.133.28, 7.146.8. Zalecane przez Wiz i JFrog (obejmują też krytyczną CVE-2026-82329): 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 |
Typ podatności | Nieprawidłowe uwierzytelnianie; CWE-287 |
Ocena CVSS | JFrog: 7.5 (CVSS 3.1, WYSOKA): atak przez sieć, bez konta, wysoki wpływ na poufność. NVD nie wystawił własnej oceny. W połączeniu z CVE-2026-42016 skutkiem jest przejęcie uprawnień administratora |
Wyobraź sobie hurtownię, do której wstęp mają tylko pracownicy z identyfikatorami. Kierownik wyłączył dawno temu wejściówki dla gości, ale automat przy bramie nadal wydaje „przepustkę gościa” każdemu, kto o nią poprosi w odpowiedni sposób. Sama przepustka gościa otwiera niewiele. Problem w tym, że w biurze przepustek jest druga usterka: urzędnik wymienia każdą ważną przepustkę na przepustkę kierownika, sprawdzając tylko pieczątkę, a nie to, jakie uprawnienia na niej wpisano.
Artifactory to właśnie taka hurtownia dla firmy tworzącej oprogramowanie: przechowuje gotowe pakiety, obrazy kontenerów, biblioteki i modele AI, z których korzystają programiści i automatyczne systemy wdrożeń. CVE-2026-42018 to automat wydający przepustki gościa, a CVE-2026-42016 to urzędnik, który je „awansuje”. Razem dają obcej osobie klucze kierownika.
💡 Artifactory to repozytorium artefaktów, czyli magazyn gotowych składników oprogramowania. Token to cyfrowa przepustka zastępująca login i hasło. Użytkownik anonimowy to wbudowane konto dla osób niezalogowanych. Łańcuch luk oznacza łączenie kilku słabszych błędów w jeden poważny atak. Backdoor to ukryte wejście, które przestępca zostawia sobie na później.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp anonimowy wyłączony | Niezalogowany nie dostaje żadnego tokenu | Niezalogowany może dostać token użytkownika anonimowego |
Token o niskich uprawnieniach | Pozwala tylko na to, co przypisano | W połączeniu z CVE-2026-42016 może zostać zamieniony na token administratora |
Konta administratorów | Znane i kontrolowane | Pojawiają się nowe konta o nazwach udających usługi JFrog |
Pakiety pobierane przez programistów | Pochodzą z zaufanego magazynu | Magazyn jest pod kontrolą przestępcy |
Aktualizacja do poprawionej wersji | Zamyka lukę | Zamyka lukę, ale nie usuwa kont i backdoorów założonych wcześniej |
źródło: Pexels, Tiger LilyPoniżej typowy przebieg ataku oparty na obserwacjach Wiz z okresu 15 sierpnia do 8 września 2026 roku. Luka nie wymaga konta, a CISA ocenia atak jako możliwy do zautomatyzowania. Według Wiz w części przypadków od pierwszego żądania do założenia konta administratora minęło mniej niż pięć minut.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie celów | T-godziny | Skanowanie internetu w poszukiwaniu instancji Artifactory | Lista serwerów do ataku |
2. Zdobycie tokenu gościa | T+0 min | Wykorzystanie CVE-2026-42018 bez logowania | Token wewnętrznego użytkownika anonimowego |
3. Podniesienie uprawnień | T+1-2 min | Wykorzystanie CVE-2026-42016 do zamiany tokenu | Token z uprawnieniami administratora |
4. Utrwalenie | T+poniżej 5 min | Założenie konta administratora o nazwie udającej usługę | Stały dostęp niezależny od luki |
5. Przejęcie serwera | T+godziny | Instalacja złośliwych wtyczek, uruchamianie poleceń, pobranie backdoora | Kontrola nad systemem operacyjnym serwera |
6. Wykorzystanie | T+dni | Kradzież konfiguracji i sekretów, możliwa podmiana pakietów | Wyciek danych, ryzyko ataku na klientów i produkty |
Artifactory jest centralnym punktem łańcucha dostaw oprogramowania: wszystko, co programiści budują i wdrażają, przechodzi przez ten magazyn. Według danych Wiz 69% organizacji używających Artifactory miało podatną instancję w dniu publikacji luki, a po czterech tygodniach nadal 62%. To oznacza, że wiele firm wciąż ma otwarte drzwi, mimo że poprawka jest dostępna od sierpnia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wstrzymanie wdrożeń i budowania oprogramowania, odtworzenie serwera, wymiana sekretów | Godziny do dni | 30 tys. do 200 tys. PLN (przestój zespołów, praca administratorów) |
Bezpieczeństwo danych | Kradzież kodu, pakietów, konfiguracji i poświadczeń do innych systemów | Minuty do dni od włamania | 40 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty weryfikacji wszystkich artefaktów, kary umowne, możliwy szantaż | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli podmieniony pakiet trafi do ich systemów | Tygodnie do miesięcy | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; odpowiedzialność umowna wobec klientów | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Artifactory dostępnym z internetu
Wpływ
5 | . . . . ○ ← łańcuch z CVE-2026-42016: KRYTYCZNA
4 | . . . ■ . ← sama CVE-2026-42018: WYSOKA
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Artifactory dostępny tylko w sieci wewnętrznej:
prawdopodobieństwo niższe (2-3), wpływ bez zmian. Interpretacja: sama luka ma ocenę 7.5 i dotyczy głównie poufności, ale w praktyce jest wykorzystywana w łańcuchu, który daje pełną kontrolę nad magazynem oprogramowania, dlatego dla instancji dostępnej z internetu traktuj ją jako KRYTYCZNĄ.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej wykonawcy mają samodzielnie utrzymywany Artifactory, w jakiej wersji i czy jest dostępny z internetu | Dziś | CTO / zespół DevOps |
2 | 🔴 NATYCHMIAST | Zaktualizować do 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 lub 7.161.20 (zależnie od gałęzi) albo nowszej | Dziś | Zespół DevOps |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji ograniczyć dostęp sieciowy do Artifactory tylko do zaufanych adresów i sieci firmowej | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Sprawdzić listę kont administratora, szczególnie nazwy ze wskaźników Wiz (np. jfrog-distribution, jfrog-insight, repo-service, backup-service) | Dziś | Zespół DevOps / bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi od 15 sierpnia 2026 roku pod kątem tworzenia tokenów przez użytkownika anonimowego, nowych wtyczek i nietypowych procesów na serwerze | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli są ślady włamania: odizolować serwer, wymienić wszystkie tokeny i hasła przechowywane lub używane przez Artifactory, zweryfikować integralność kluczowych pakietów | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że narzędzia deweloperskie nie są dostępne z internetu bez VPN lub bramy z logowaniem | Do 30 dni | CTO |
JFrog wydał poprawki dla wszystkich wymienionych gałęzi, a instancje chmurowe zabezpieczył sam, więc aktualizacja jest dostępna. JFrog nie opisał obejść dla tej luki. Poniższe miary tylko ograniczają ryzyko na czas przygotowania aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie Artifactory od internetu, dostęp tylko z sieci firmowej lub przez VPN (zalecenie Wiz: ograniczyć dostęp do zaufanych systemów) | Wysoka | Średnia: wymaga uwzględnienia systemów CI/CD i wykonawców |
Codzienny przegląd listy administratorów i aktywnych tokenów | Średnia: wykrywa skutki, nie zapobiega | Łatwa |
Alarmy w systemie logów na tworzenie tokenów przez konta anonimowe i instalację wtyczek | Średnia, przydatne do wykrycia | Średnia |
Tymczasowe wstrzymanie wdrożeń z niezweryfikowanych pakietów | Średnia wobec ryzyka podmiany | Trudna: spowalnia pracę |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Artifactory | Podatna, np. 7.146.5 | 7.146.38 lub 7.161.20 i nowsze |
Dostęp z internetu | Każdy może wysyłać żądania do serwera | Tylko sieć firmowa i zaufane systemy |
Konta administratora | Niesprawdzone | Zweryfikowane, obce usunięte |
Tokeny i sekrety | Mogły wyciec | Wymienione, jeśli były ślady włamania |
Wiedza o incydencie | Brak | Logi od 15 sierpnia przejrzane, wynik udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA w ocenie SSVC: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny częściowy. Wiz potwierdził wykorzystanie w wielu środowiskach od 15 sierpnia do 8 września 2026 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. Wiz: kilku niezależnych sprawców |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg JFrog (CVSS 3.1); brak własnej oceny NVD |
PoC dostępny publicznie? | Brak potwierdzonego publicznego exploita; Wiz opublikował opis wzorców ataku i wskaźniki włamania |
Liczba atakowanych firm | Brak publicznych danych o ofiarach. Wiz: 62% organizacji z Artifactory nadal miało podatną instancję cztery tygodnie po publikacji luki |
Powiązane luki w KEV | CVE-2026-42016 (dodana 11 września 2026), CVE-2026-82329 (dodana 2 września 2026, krytyczna) |
Sygnały zagrożenia dla CVE-2026-42018
CVSS 3.1 (JFrog) 7.5/10 ███████████████░░░░░ WYSOKA
Łańcuch z CVE-2026-42016 admin ████████████████████ pełna kontrola
CISA KEV TAK ████████████████████ wykorzystanie potwierdzone
Podatne organizacje (Wiz) 62% ████████████░░░░░░░░ po 4 tygodniach
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-07-27 JFrog publikuje CVE-2026-42016 (podniesienie uprawnień)
2026-08-12 JFrog publikuje CVE-2026-42018 i poprawki
2026-08-15 Wiz: pierwsze obserwowane ataki łączące obie luki
2026-08-28 JFrog publikuje krytyczną CVE-2026-82329
2026-09-02 CVE-2026-82329 w katalogu CISA KEV
2026-09-08 Wiz: ostatnie obserwowane ataki w analizowanym okresie
2026-09-10 Raport Wiz o atakach na Artifactory
2026-09-11 CVE-2026-42018 i CVE-2026-42016 w katalogu CISA KEV
2026-09-25 Termin naprawy wg CISA dla agencji federalnych
(za 8 dni od dziś)
2026-09-17: TUTAJ JESTEŚMY Biuletyny producenta z wersjami: JFrog Security Advisories . Wydania Artifactory: Artifactory Self-Managed Releases . Raport o atakach ze wskaźnikami włamania: Wiz Research . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-42018 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy mamy samodzielnie utrzymywany Artifactory i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić awaryjną aktualizację, nawet kosztem przerwy w budowaniu oprogramowania | CTO | DZISIAJ |
3 | Otrzymać potwierdzenie przeglądu kont administratora i wtyczek | CTO | DZISIAJ |
4 | Otrzymać wynik przeglądu logów od 15 sierpnia 2026 roku | CTO | DO JUTRA |
5 | Zapytać wykonawców i dostawców oprogramowania, czy używają Artifactory i czy go zaktualizowali | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i weryfikację pakietów, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowach z klientami obowiązki informacyjne przy incydencie w łańcuchu dostaw | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy JFrog Artifactory na własnych serwerach, czy w chmurze JFrog? | [self-hosted / chmura / nie używamy] | 🔴 |
2 | Jaka jest wersja każdej instancji? | [wersja] | 🔴 |
3 | Czy Artifactory jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Kiedy wdrożyliśmy wersję z poprawką? | [data] | 🔴 |
5 | Czy sprawdziliśmy konta administratora i wtyczki pod kątem wskaźników z raportu Wiz? | TAK / NIE, [data] | 🔴 |
6 | Jakie hasła i tokeny do innych systemów są zapisane w Artifactory i czy trzeba je wymienić? | [lista], TAK / NIE | 🟠 |
7 | Czy potrafimy zweryfikować, że pakiety w repozytorium nie zostały podmienione? | TAK / NIE | 🟡 |
CVE-2026-42018 w JFrog Artifactory pozwala bez logowania zdobyć token użytkownika anonimowego, a według Wiz przestępcy od połowy sierpnia 2026 roku łączą ją z CVE-2026-42016, by w kilka minut przejąć uprawnienia administratora i zostawić backdoor. Aktualizacja do wersji zalecanej dla danej gałęzi zamyka lukę, ale firmy z instancją dostępną z internetu muszą też sprawdzić konta, wtyczki i logi, bo poprawka nie usuwa skutków wcześniejszego włamania.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.