Cảnh báo JFrog Artifactory: Lỗ hổng CVE-2026-82329 đang bị khai thác để chiếm quyền quản trị

Những kẻ tấn công đã bắt đầu khai thác một lỗ hổng nghiêm trọng trong JFrog Artifactory chỉ vài ngày sau khi bản vá được công bố. Theo The Hacker News dẫn phân tích của watchTowr, lỗ hổng CVE-2026-82329 có điểm CVSS 9.8 và có thể cho phép kẻ tấn công không cần xác thực đạt quyền quản trị trên hệ thống Artifactory bị ảnh hưởng.

Lỗ hổng nằm ở cơ chế cấp và xác thực thông tin truy cập

JFrog Artifactory là nền tảng quản lý kho tạo tác phần mềm được nhiều tổ chức sử dụng trong quy trình CI/CD để lưu trữ thư viện, gói phần mềm, container image và các thành phần phục vụ phát hành sản phẩm. Vì vậy, quyền quản trị Artifactory không chỉ là quyền trên một máy chủ đơn lẻ, mà còn có thể trở thành điểm kiểm soát quan trọng trong chuỗi cung ứng phần mềm.

Theo mô tả trên CVE.org được The Hacker News trích dẫn, JFrog Artifactory chứa một điểm yếu xác thực trong cấu hình mặc định, có thể cho phép kẻ tấn công có khả năng truy cập mạng giành đặc quyền quản trị. watchTowr cho biết vấn đề liên quan đến JFrog Access, thành phần chịu trách nhiệm phát hành và xác thực thông tin định danh.

Trong một số trường hợp, các instance không có join key bổ sung được cấu hình có thể nhận một join key dạng “phantom”. Kẻ tấn công có thể lợi dụng điều này để giả mạo quyền truy cập và tạo thông tin xác thực ở cấp quản trị.

Phạm vi phiên bản bị ảnh hưởng

JFrog đã phát hành bản vá trong Artifactory phiên bản 7.161.20 vào ngày 28/08/2026. Các nhánh phiên bản bị ảnh hưởng gồm 7.161.0 đến 7.161.19, 7.146.0 đến 7.146.36, 7.133.0 đến 7.133.28, 7.125.0 đến 7.125.19, 7.117.0 đến 7.117.27 và 7.111.4 đến 7.111.21.

Điểm đáng chú ý là lỗ hổng ảnh hưởng đến cấu hình mặc định, không yêu cầu xác thực và không cần tương tác từ người dùng. Điều này khiến rủi ro đặc biệt cao đối với các hệ thống Artifactory tự quản lý đang mở ra Internet hoặc nằm trong vùng mạng mà kẻ tấn công đã có chỗ đứng ban đầu.

Khai thác thực tế đã bắt đầu

watchTowr cho biết hoạt động khai thác đã được ghi nhận từ ngày 01/09/2026. Kẻ tấn công đang sử dụng lỗ hổng để tạo token quản trị, liệt kê người dùng, nhóm, bộ thông tin xác thực và cấu trúc truy cập liên kết.

Với quyền quản trị trên một hệ thống trung tâm của chuỗi cung ứng phần mềm, kẻ tấn công có thể tiến xa hơn việc đọc thông tin cấu hình. Rủi ro thực tế bao gồm can thiệp vào pipeline build, thay đổi gói phát hành, di chuyển ngang sang môi trường sản xuất hoặc đẩy thay đổi độc hại xuống các hệ thống phụ thuộc.

Khuyến nghị cho tổ chức đang vận hành Artifactory

Các tổ chức đang dùng JFrog Artifactory tự quản lý cần ưu tiên cập nhật lên phiên bản đã vá, đặc biệt với những hệ thống có thể truy cập từ Internet. Việc trì hoãn vá lỗi trong trường hợp này làm tăng đáng kể nguy cơ bị khai thác vì thông tin kỹ thuật và dấu hiệu tấn công đã xuất hiện công khai.

Bên cạnh cập nhật phần mềm, đội ngũ vận hành nên rà soát audit log, kiểm tra hoạt động tạo token bất thường, xoay vòng thông tin xác thực có khả năng bị lộ và đánh giá lại các hệ thống kết nối với Artifactory. Những thay đổi trong artifact, repository, pipeline và quyền người dùng cần được đối chiếu với lịch sử thay đổi hợp lệ.

Sự cố này tiếp tục cho thấy các nền tảng quản lý chuỗi cung ứng phần mềm cần được bảo vệ như tài sản trọng yếu. Khi kho tạo tác bị chiếm quyền, tác động có thể lan từ môi trường phát triển sang sản phẩm, khách hàng và niềm tin của toàn bộ hệ sinh thái.

VNCyberS tổng hợp từ The Hacker News, watchTowr, CVE.org và JFrog