Tre patch, una sola catena di attacco
JFrog ha rilasciato patch per tre distinte vulnerabilità di Artifactory dal 27 luglio 2026, e gli attaccanti hanno passato settimane a concatenare le prime due prima che la terza diventasse pubblica.
| CVE | Divulgata | Vulnerabile ora |
|---|---|---|
| CVE-2026-42016 | 27 Jul 2026 | 59% (+6 wk) |
| CVE-2026-42018 | 12 Aug 2026 | 62% (+4 wk) |
| CVE-2026-82329 | 28 Aug 2026 | 49% (+2 wk) |
CVE-2026-42016 permette di scambiare un token a basso privilegio con uno con permessi di amministratore. CVE-2026-42018 consegna un token interno per utenti anonimi a chi non ha mai effettuato l'accesso, anche con l'accesso anonimo disattivato. CVE-2026-82329, divulgata il 28 agosto con un punteggio CVSS di 9,8, permette a un attaccante non autenticato di ottenere privilegi di amministratore direttamente sotto una configurazione predefinita.
I passaggi esatti che trasformano un ospite in amministratore
La società di sicurezza Wiz ha documentato il meccanismo esatto: gli attaccanti inviano una richiesta POST a /access/api/v1/aws/token/, con una barra finale, che restituisce un JWT anonimo anche se l'accesso anonimo è disattivato. Poi inviano quel token a /access/api/v1/tokens per richiedere un token con permessi di amministratore, che Artifactory rilascia senza verificare correttamente il livello reale di privilegio di chi lo richiede.
Per la falla più recente, CVE-2026-82329, Wiz ha trovato una scorciatoia ancora più diretta: un unico POST a /access/api/v1/registry/join restituisce direttamente un token da amministratore, senza bisogno di concatenare nulla. Una volta dentro, gli attaccanti hanno creato account amministratore persistenti, installato plugin Groovy dannosi tramite lo stesso framework di plugin di Artifactory per eseguire codice sul server, e in alcuni casi distribuito backdoor scritte in Rust con capacità di comando e controllo. Wiz ha osservato gli attacchi concatenati dal 15 agosto all'8 settembre 2026, con un'ondata separata che sfruttava CVE-2026-82329 dal 1 all'8 settembre.
Corretta non significa risolta
Il divario tra l'esistenza di una patch e un server che la esegue davvero è la vera storia qui, e si misura in mesi, non in giorni. JFrog ha corretto CVE-2026-42016 nella versione 7.133.11 il 27 luglio; sei settimane dopo, secondo la telemetria di Wiz, il 59 per cento delle organizzazioni era ancora vulnerabile.
CVE-2026-42018 non è andata meglio: corretta su cinque rami entro il 12 agosto, quattro settimane dopo il 62 per cento delle organizzazioni restava esposto. CVE-2026-82329 si è mossa più in fretta, passando dal 67 per cento vulnerabile alla divulgazione al 49 per cento dopo due settimane, ma questo lascia comunque circa metà di tutte le installazioni di Artifactory aperte a una falla con gravità 9,8 su 10. La scala dei tentativi automatizzati di exploit contro server non corretti non è teorica: Fastly ha registrato circa 406.000 tentativi di exploit contro CVE-2026-82329 in un solo giorno, il 2 settembre, lo stesso giorno in cui CISA l'ha aggiunta al suo catalogo delle vulnerabilità sfruttate conosciute.
L'obbligo europeo che ancora nessuno fa rispettare
CISA ha dato alle agenzie federali statunitensi una scadenza fissa, il 5 settembre, tre giorni dopo aver aggiunto CVE-2026-82329 al suo catalogo KEV il 2 settembre. La UE non ha un ordine pubblico equivalente con una data per le aziende private, anche se l'articolo 21 della NIS2 già impone a molte medie imprese di software e servizi IT di mantenere un processo documentato di gestione delle vulnerabilità che copre esattamente questo tipo di strumento di filiera esposto a internet e non corretto.
Questo lascia un vuoto reale per qualsiasi azienda con sede nella UE che gestisce Artifactory in autonomia: esiste l'obbligo legale di gestire questo rischio secondo la NIS2, ma non c'è una scadenza nazionale o a livello di UE pubblicata che forzi il punto come fa l'ordine di CISA negli Stati Uniti. Per ora, l'unico vero motore per correggere un'istanza di Artifactory ospitata nella UE è il team di sicurezza di un'azienda che legge un avviso del fornitore e agisce di conseguenza, non l'orologio di un regolatore.
Da leggere ora: La falla peggio valutata di GitLab richiede un solo progetto pubblico | Il Bug Ha Rotto Proprio Ciò Da Cui Dipendono Le Patch
