Un parche ya no basta: hackers dejan accesos administrativos y una puerta trasera en Rust en JFrog

El servidor de compilación puede convertirse de un almacén de confianza en un punto de acceso persistente en cuestión de minutos. Wiz registró ataques en instalaciones autohospedadas de JFrog Artifactory, donde los atacantes encadenaron dos vulnerabilidades, obtuvieron privilegios de administrador y persistieron en el sistema. Artifactory almacena componentes que luego entran en las compilaciones. Estos episodios se observaron del 15 de agosto al 8 de septiembre.

El primer paso aprovecha CVE-2026-42018 con una puntuación de 7,5 según CVSS 3.1. Artifactory puede emitir un token interno de usuario anónimo a quien ni siquiera haya iniciado sesión. Luego CVE-2026-42016 con una puntuación de 8,1 según CVSS 3.1 permite convertir ese token de bajos privilegios en uno administrativo, porque el servidor comprueba la firma y el emisor, pero no controla suficientemente el ámbito de privilegios.

En los casos observados, el trayecto desde la primera solicitud hasta la creación de una nueva cuenta administrativa demoró menos de cinco minutos. Tras la toma de los servidores, los atacantes instalaban complementos Groovy maliciosos para ejecutar comandos, subían shells web y componentes secundarios. En varios sistemas Wiz encontró una puerta trasera en Rust con un canal de control que mantenía el acceso después del compromiso.

La cadena solo funciona en versiones vulnerables a ambas fallas a la vez. CVE-2026-42016 afecta a Artifactory hasta la versión 7.133.11, mientras que CVE-2026-42018 está corregida en las versiones 7.111.20, 7.117.28, 7.125.20, 7.133.29 y 7.146.9. JFrog divulgó ambos problemas antes de los ataques observados, por lo que se vieron afectados los servidores sin actualizaciones. Cerrar cualquiera de las dos vulnerabilidades rompe la cadena.

Paralelamente, los atacantes explotan CVE-2026-82329 con una puntuación de 9,8 según CVSS 3.1, que por sí sola otorga privilegios administrativos sin cuenta en la configuración por defecto. Sobre su explotación ya escribimos anteriormente. Wiz vio ataques exitosos por esta falla del 1 al 8 de septiembre, incluyendo el robo de claves de clúster, la creación de administradores y la emisión de tokens de larga duración.

La escala de la superficie potencial sigue siendo notable. Según la telemetría de Wiz, seis semanas después de la publicación de CVE-2026-42016, el 59% de las organizaciones con Artifactory seguían siendo vulnerables, y para CVE-2026-42018 la tasa apenas cayó del 69% al 62%. Para la vulnerabilidad crítica CVE-2026-82329, el porcentaje se redujo en dos semanas del 67% al 49%, aunque casi la mitad de las organizaciones todavía tenía una instancia vulnerable.

Se recomienda a los administradores instalar las compilaciones corregidas de su rama, en primer lugar en los servidores accesibles desde Internet, y luego revisar los registros y las acciones privilegiadas inesperadas. La propia actualización no elimina las cuentas creadas por los atacantes ni los tokens emitidos. Las vulnerabilidades de verano de Artifactory ya aparecieron en el incidente con agentes de IA de OpenAI.