Falle KEV di JFrog Artifactory: l'ambito del token conta più della patch

L'11 settembre 2026, CISA ha aggiunto due vulnerabilità di JFrog Artifactory al suo catalogo Known Exploited Vulnerabilities, concedendo alle agenzie federali tempo fino al 25 settembre per porre rimedio ai sensi della Binding Operational Directive 26-04. I ricercatori di sicurezza di Wiz affermano che gli aggressori hanno già concatenato le due falle in ambienti reali per passare da una connessione anonima all'accesso amministrativo completo sulle istanze Artifactory ospitate in proprio.

Cosa fanno le due CVE

CVE-2026-42018 è una vulnerabilità di autenticazione impropria che può indurre Artifactory a consegnare un token interno di utente anonimo a una richiesta non autenticata, anche quando l'accesso anonimo è disabilitato. CVE-2026-42016, con punteggio CVSS 8,1, è un problema di escalation dei privilegi: Artifactory convalida la firma e l'emittente di un token ma non il suo ambito, quindi un token destinato a coprire un'azione limitata può essere riutilizzato per più di quanto era previsto consentire.

Wiz riferisce che gli aggressori hanno utilizzato la combinazione almeno dalla metà di agosto 2026 per creare account amministratore persistenti, installare plugin dannosi per l'esecuzione di codice e prelevare dati di configurazione e chiavi del cluster. Al momento della divulgazione, Wiz ha misurato che circa due terzi delle organizzazioni che eseguono Artifactory avevano ancora almeno un'istanza vulnerabile.

Perché "firmato e valido" non equivale a "con ambito corretto"

Per gli MSP dell'UE che controllano le istanze dei clienti, la domanda operativa non è se la firma di un token risulti valida — di solito lo è — ma se la piattaforma applichi separatamente quale tenant, repository, percorso e verbo quel token possa toccare. La convalida della firma e dell'emittente risponde a "chi ha emesso questo?" e "è stato manomesso?", ma non risponde a "cosa è autorizzato a fare?". Chiedi a qualsiasi fornitore, JFrog inclusa, di dimostrare l'applicazione dell'ambito e la registrazione dei rifiuti con evidenze non di produzione prima di considerare conclusa la revisione in base al solo numero di versione aggiornato.

Cosa ricontrollare dopo l'applicazione della patch

• Aggiorna a una versione Artifactory corretta — 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 o 7.111.21 — corrispondente al ramo in uso.
• Ricontrolla le impostazioni di accesso anonimo e i permessi dei repository, non solo la stringa di versione.
• Esamina i destinatari dei token degli account di servizio e revoca tutto ciò che è stato emesso prima della patch.
• Conferma che i confini tra tenant restino validi con lo stesso test di ambito usato per validare la correzione.

La patch chiude il bypass specifico; non restringe retroattivamente i token che erano già stati dotati di un ambito eccessivo. Tratta la rotazione delle credenziali e la revisione degli ambiti come parte della correzione, non come follow-up facoltativo.

Fonti: catalogo CISA KEV, avvisi di sicurezza JFrog, SecurityWeek.