JFrog Artifactory : deux failles combinées offrent les clés de l'administrateur aux pirates

Deux failles déjà connues de JFrog Artifactory, l'entrepôt de paquets logiciels très utilisé dans les usines à logiciels des entreprises, sont piratées activement depuis la mi-août. Combinées, elles permettent à un attaquant sans aucun compte de devenir administrateur du serveur, puis d'installer une porte dérobée. Le 11 septembre, l'agence américaine CISA a inscrit les deux failles sur sa liste rouge des vulnérabilités activement exploitées.

Deux failles, une attaque en deux étapes

Artifactory, c'est le garde-manger du code d'une entreprise : l'endroit où sont stockés les paquets et bibliothèques (les briques toutes faites) que les programmes d'une équipe téléchargent pour construire leurs logiciels. Si quelqu'un contrôle cet entrepôt, il peut envenimer ce que les machines téléchargent, et donc toucher tout ce qui se construit derrière.

Le scénario observé tient en deux requêtes. D'abord, la faille CVE-2026-42018 (corrigée le 12 août) : le serveur remet un jeton d'accès interne, celui de l'utilisateur « anonyme », à n'importe qui le demande, alors même que l'accès anonyme est désactivé. Ensuite, la faille CVE-2026-42016 (corrigée le 27 juillet) : Artifactory vérifie la signature du jeton, mais pas son périmètre de droits, l'étendue de ce qu'il autorise. Un jeton au périmètre minimal peut donc être échangé contre un jeton d'administrateur.

Enchaînées, ces deux faiblesses transforment une simple requête non authentifiée en jeton d'administrateur. Chez Wiz, dans certains cas observés, il s'est écoulé moins de cinq minutes entre la première requête et la création d'un compte administrateur persistant. C'est la première fois que l'exploitation en vrai de ce duo est documentée publiquement.

Source : Wiz Research

Portes dérobées en Rust et comptes administrateurs fantômes

Entre le 15 août et le 8 septembre 2026, Wiz Research a observé plusieurs groupes d'attaquants différents exploiter ce duo contre des serveurs Artifactory auto-hébergés, ceux que les entreprises installent sur leurs propres machines. Le plus préoccupant : un backdoor en Rust avec contrôle à distance a été déposé dans plusieurs cas, écrivent les chercheurs. Un backdoor est une porte dérobée laissée ouverte pour revenir plus tard, et « Rust » désigne simplement le langage dans lequel ce programme malveillant a été écrit.

Les chercheurs détaillent les traces laissées : comptes administrateurs créés pour durer, greffon malveillant installé via le mécanisme interne d'Artifactory (ce qui permet d'exécuter n'importe quelle commande sur le serveur), commande téléchargée depuis un serveur contrôlé par les pirates puis déposée dans des dossiers temporaires comme /tmp ou /dev/shm pour communiquer avec eux, et même webshell, un petit script glissé dans un dépôt pour garder un accès de secours.

Troisième faille au tableau : la CVE-2026-82329, critique celle-là, permettait dès le départ un accès administrateur complet sans compte. Publiée le 28 août, elle a aussi été exploitée début septembre. Certains comptes créés par les attaquants portent des noms volontairement crédibles, comme jfrog-distribution ou repo-service, ce qui complique leur repérage.

Des correctifs existent, mais l'immense majorité tarde à les installer

Le chiffre le plus inquiétant du rapport Wiz : six semaines après la publication du correctif de la CVE-2026-42016, 59 % des organisations qui utilisent Artifactory avaient encore au moins une instance vulnérable. Pour la CVE-2026-42018, la proportion est passée de 69 % à 62 % en quatre semaines. Seule la faille critique CVE-2026-82329 a été corrigée à un rythme correct, passant de 67 % à 49 % d'instances vulnérables en deux semaines.

Les correctifs existent pourtant depuis des semaines. Pour la CVE-2026-42016, il faut passer en version 7.133.11 minimum. Pour la CVE-2026-42018, les versions corrigées dépendent de votre branche : 7.111.20, 7.117.27, 7.125.19, 7.133.28 ou 7.146.8. Pour la CVE-2026-82329, les versions corrigées incluent 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 et 7.161.20 ou supérieure. Wiz recommande de viser 7.161.20 ou plus récent pour couvrir l'ensemble du tableau.

Si tu utilises la version cloud d'Artifactory, hébergée chez JFrog, l'éditeur précise que les instances concernées ont déjà été fortifiées : rien à faire de ton côté. Le risque concerne les installations auto-hébergées, très répandues dans les grandes entreprises et les organismes qui veulent garder leur code en interne.

Que faire si tu administres un serveur Artifactory

Premier réflexe : vérifier ta version et mettre à jour vers les versions citées plus haut. Deuxième réflexe : passer les journaux du serveur au crible, car Wiz a publié des indicateurs de compromission très concrets. Une requête vers /access/api/v1/aws/token/ (avec un slash final) qui répond OK alors que le chemin nu renvoie une erreur d'authentification, par exemple, c'est le signal d'un test d'exploitation. Une identité anonyme ou à faibles droits qui fabrique des jetons d'accès, liste les utilisateurs ou touche au dossier des greffons en est un autre.

Restent les classiques à vérifier d'urgence : comptes administrateurs inconnus, jetons d'accès créés sans raison, clés SSH ajoutées à des comptes existants. Et comme ces serveurs n'ont rien à faire exposés sur internet, limiter leur accès au réseau interne et aux seuls outils de construction qui en ont besoin reste la protection la plus efficace. Wiz précise enfin que l'exploitation de la CVE-2026-82329 a été ajoutée au catalogue KEV de la CISA dès le 2 septembre, et que la CISA impose aux agences fédérales américaines de corriger ce type de failles en priorité absolue.

Entre des correctifs disponibles depuis des semaines, une exploitation documentée depuis début septembre et l'inscription de ces failles sur la liste rouge de la CISA, le tableau est complet. Il ne manque plus qu'une chose : que les dizaines de milliers d'administrateurs concernés trouvent enfin le temps de cliquer sur « Mettre à jour ».

Sources

Wiz Research : le rapport Artifactory Under Attack, avec l'analyse détaillée des attaques observées entre le 15 août et le 8 septembre 2026.

— JFrog : les advisories de sécurité officielles, avec les versions corrigées pour chaque faille.

— CISA : l'alerte du 11 septembre ajoutant les CVE-2026-42016 et CVE-2026-42018 au catalogue des failles activement exploitées.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.