JFrog Artifactory CVE-2026-82329: Authentication bypass being exploited to create admin tokens
Il fatto
A febbraio 2026 è stato confermato che una vulnerabilità critica di authentication bypass in JFrog Artifactory (il repository manager di software di JFrog), è stata scoperta ed è già sotto attacco attivo.
La vulnerabilità, catalogata come CVE-2026-82329, consente a un attaccante non autenticato di forgiare token amministrativi senza conoscere le credenziali reali. Questo significa accesso completo al repository, alla capacità di modificare, eliminare o pubblicare artifact malvagi, e (a seconda della configurazione), potenziale accesso alla supply chain che dipende da quel repository.
Ricercatori di watchTowr hanno inizialmente osservato gli attacchi sfruttare questa vulnerabilità, e da allora il numero di tentativi di exploit riportati è cresciuto in modo significativo.
Il meccanismo: forgiare token admin
Il flusso di autenticazione di Artifactory, nelle versioni vulnerabili, contiene un difetto nel modo in cui valida i token JWT (JSON Web Tokens). L’attaccante non ha bisogno di:
- Conoscere la chiave segreta di firma
- Sottomettere credenziali valide
- Passare attraverso un flusso di autenticazione multi-step
Può semplicemente crafting un JWT con claims amministrativi e il sistema lo accetta come valido, una falla drammatica nel flusso di validazione.
Un attaccante con accesso di rete al Artifactory (spesso esposto su internet o raggiungibile da un host compromesso) può:
POST /api/tokens
Authorization: Bearer [JWT forgiato con admin=true]
→ Ottiene token sessione reale con privilegi admin
Da quel punto, ogni operazione di repository (dalla modifica dei controlli di accesso al caricamento di artifact), è possibile.
Perché è critico per la supply chain
JFrog Artifactory è usato come repository centrale di milioni di organizzazioni per gestire il software interno, le dipendenze di build, e gli artifact di deployment. Se compromesso, l’attaccante può:
- Inoculare malware nei pacchetti che vengono distribuiti a migliaia di sviluppatori
- Modificare le versioni esistenti di librerie critiche: i consumatori scaricheranno il malware credendo di avere il software legittimo
- Raccogliere accesso a tutte le build interne, i segreti hardcoded, le API key presenti nei repository
L’impatto potenziale è una supply chain attack su vasta scala, simile all’attacco SolarWinds del 2020 ma facilitato da una singola falla di autenticazione.
Cosa fare
JFrog ha rilasciato patch urgenti. Le versioni vulnerabili sono:
- Artifactory < 7.63.15 (open source / community)
- Artifactory < 7.84.x (versioni Enterprise precedenti)
Azioni immediati:
- Upgrade: applicare la patch non appena disponibile per la tua versione
- Audit dei token: revoca tutti i token di autenticazione di Artifactory e ri-genera quelli di servizio
- Verificare i log: controlla i log di accesso (se ancora disponibili) per attività anomale, caricamenti non autorizzati, modifiche di permessi, esportazioni di dati
- Segmentazione di rete: se Artifactory è ancora vulnerabile pre-patch, limita l’accesso di rete solo ai build system e agli sviluppatori autorizzati
- Inventory: verifica se il tuo Artifactory è esposto su internet, la maggior parte degli attacchi inizia da lì
Conclusione
CVE-2026-82329 rappresenta il caso di scuola di perché la sicurezza dell’autenticazione non è una feature, è il perimetro di difesa più critico. Una vulnerabilità nel modo in cui un sistema valida chi sei trasforma qualsiasi “cosa puoi fare” in una completa compromissione. Per una piattaforma di repository come Artifactory, che è trusted per distribuire software a migliaia di macchine, questo non è solo un bug, è una bomb a orologeria di supply chain.