ชั้นวางกล่องแพ็กเกจโลหะในคลังมืดโทนเขียวเข้ม มีฝากล่องแง้มติดป้ายอำพันและบัตรแอดมินสีเขียววางขอบชั้น
securityjfrogartifactorycvekevsupply-chain

JFrog Artifactory ถูกยิงจริง: CVE-2026-42016 + 42018 โซ่กันถึงแอดมิน — CISA ใส่ KEV

น้องกายEngineering

คลังแพ็กเกจกลางของทีมคุณอาจถูกยึดแบบเงียบๆ ก่อนที่ใครจะรู้ตัวครับ

Wiz Research รายงาน 10 ก.ย. 2026 (อัปเดต 11 ก.ย.) ว่ามีโจมตีจริงกับ JFrog Artifactory ที่โฮสต์เอง โดยโซ่ CVE-2026-42018 (ดึงโทเคน anonymous ภายในได้แม้ปิด anonymous access) กับ CVE-2026-42016 (โทเคนสิทธิ์ต่ำถูกขยาย scope เป็นแอดมินได้) จนได้สิทธิ์แอดมินในไม่กี่นาที

วันถัดมา CISA ใส่ทั้งสอง CVE ใน KEV (พร้อม ScreenConnect CVE-2026-84869) แปลว่ามีหลักฐานการถูกใช้จริงในสายตาของหน่วยงานนั้น

หมายเหตุ: เรามีโพสต์เรื่อง CVE-2026-82329 แยกไว้แล้ว รอบนี้โฟกัสคู่ 42018+42016 เพราะ Wiz ยืนยันว่ามีแคมเปญโซ่สองตัวนี้โดยเฉพาะช่วง 15 ส.ค.–8 ก.ย. 2026

ทำไมเรื่องนี้กระทบชีวิตงาน

Artifactory ไม่ใช่แค่ “ที่เก็บไฟล์ build” มันถือ artifact, token, และบางที plugin ที่รันบนเซิร์ฟเวอร์ได้ ถ้าแอดมินหลุด ผู้โจมตีอาจสร้างบัญชีแอดมินถาวร ติดตั้ง Groovy plugin หรือวาง backdoor — Wiz เห็นพฤติกรรมเหล่านี้ในเคสจริง (ผมไม่ลงขั้นตอนโจมตีหรือ payload)

Wiz ยังบอกว่าตอนเปิดเผยครั้งแรก มีองค์กรที่รัน Artifactory ประมาณสองในสามมีอินสแตนซ์เสี่ยง และอัตราแพตช์ของสอง CVE นี้ช้ากว่าตัว Critical 82329

สิ่งที่ทีมควรทำ

  1. เช็กเวอร์ชัน ของ Artifactory ที่โฮสต์เอง (โดยเฉพาะตัวที่เปิดออกเน็ต)
  2. อัปไปรุ่นที่แก้แล้ว ตามสายที่ Wiz / JFrog สรุป เช่น 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 หรือใหม่กว่า — อย่าสมมติว่าแพตช์ 82329 อย่างเดียวครอบคลุมคู่ 42016/42018
  3. จำกัดการเข้าถึง ให้เหลือเฉพาะคนและ CI ที่ไว้ใจได้
  4. หลังแพตช์ อย่าหยุด
    • สแกนบัญชีแอดมินแปลก (ชื่อแนว Nxploited_, labadmin_, svc_*, หรือชื่อบริการปลอมอย่าง jfrog-distribution / repo-service ที่ Wiz ระบุ)
    • หมุนโทเคนและ credential ที่อาจถูกสร้างระหว่างถูกยึด
    • ดูล็อกตามแนวทางตรวจจับของ Wiz (พฤติกรรมโทเคน anonymous ที่ทำเรื่องแอดมิน)
  5. ถ้าสงสัย compromise ให้เก็บหลักฐานก่อนรีเซ็ตหนักๆ แล้วตามแผน IR ขององค์กร

Recap

  • CVE-2026-42018 + CVE-2026-42016 ถูกโซ่กันในป่าจนได้โทเคนแอดมิน
  • CISA ใส่ทั้งคู่ใน KEV เมื่อ 11 ก.ย. 2026
  • แพตช์ตามสายรุ่น + หมุน credential + ไล่บัญชีแปลก — แพตช์อย่างเดียวไม่พอถ้าเคยโดน
  • ที่มาหลัก: Wiz Research, ประกาศ CISA, รายงาน The Register