Fallos KEV en JFrog Artifactory: el alcance del token importa más que el parche

CISA añadió dos vulnerabilidades de JFrog Artifactory a su catálogo de vulnerabilidades conocidas explotadas el 11 de septiembre de 2026, dando a las agencias federales hasta el 25 de septiembre para remediarlas bajo la Directiva Operativa Vinculante 26-04. Los investigadores de seguridad de Wiz indican que los atacantes ya han encadenado los dos fallos en la naturaleza para escalar desde una conexión anónima hasta el acceso administrativo completo en instancias de Artifactory autohospedadas.

Qué hacen los dos CVE

CVE-2026-42018 es un fallo de autenticación incorrecta que puede hacer que Artifactory entregue un token interno de usuario anónimo a una solicitud no autenticada, incluso cuando el acceso anónimo está deshabilitado. CVE-2026-42016, con una puntuación CVSS de 8,1, es un problema de escalada de privilegios: Artifactory valida la firma y el emisor de un token, pero no su alcance, por lo que un token destinado a cubrir una acción limitada puede reutilizarse para más de lo previsto.

Wiz informa de que los atacantes han utilizado la combinación desde al menos mediados de agosto de 2026 para crear cuentas de administrador persistentes, instalar complementos maliciosos para ejecución de código y extraer datos de configuración y claves de clúster. En el momento de la divulgación, Wiz midió que aproximadamente dos tercios de las organizaciones que ejecutan Artifactory seguían teniendo al menos una instancia vulnerable.

Por qué «firmado y válido» no equivale a «con alcance correcto»

Para los MSP de la UE que auditan instancias de clientes, la cuestión operativa no es si la firma de un token se verifica —normalmente lo hace—, sino si la plataforma aplica por separado qué inquilino, repositorio, ruta y verbo puede tocar ese token. La validación de firma y emisor responde a «¿quién emitió esto?» y «¿se manipuló?». No responden a «¿qué se permite hacer con esto?». Pida a cualquier proveedor, JFrog incluido, que demuestre la aplicación del alcance y el registro de denegaciones con evidencia no productiva antes de considerar que un número de versión parcheado pone fin a la revisión.

Qué volver a comprobar tras el parcheo

• Actualice a una versión corregida de Artifactory: 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 o 7.111.21, según la rama en uso.
• Vuelva a auditar la configuración de acceso anónimo y los permisos de repositorio, no solo la cadena de versión.
• Revise los públicos de los tokens de cuentas de servicio y revoque cualquier cosa emitida antes del parche.
• Confirme que los límites entre inquilinos se mantienen bajo la misma prueba de alcance utilizada para validar la corrección.

El parche cierra la omisión específica; no reduce retroactivamente los tokens que ya tenían un alcance excesivo. Trate la rotación de credenciales y la revisión del alcance como parte de la corrección, no como un seguimiento opcional.

Fuentes: CISA KEV catalog, JFrog security advisories, SecurityWeek.