背景
JFrog Artifactory 是許多企業軟體供應鏈的核心元件，負責存放與管理建置產物、套件相依性與容器映像，可以把它理解為軟體開發流程中的中央倉庫。正因為它位於建置管線的心臟位置，一旦被攻陷，影響範圍不只是一台伺服器，而是可能波及所有透過它分發的軟體。根據 InfoQ 的報導，資安公司 Wiz.io 近期披露了三個 Artifactory 漏洞，且這些漏洞已遭到實際攻擊利用，攻擊者可在五分鐘內完成從未經身分驗證的訪客到持久管理員權限的完整入侵。
這些攻擊鎖定的是自行架設（self-hosted）且暴露在網際網路上的 Artifactory 部署。對於使用雲端託管版本的組織，風險情況不同，但對於自行維運 Artifactory 的企業而言，這是一個需要立即處理的警訊。
三個漏洞與攻擊鏈的運作方式
Wiz.io 披露的三個漏洞分別是 CVE-2026-42018、CVE-2026-42016 與 CVE-2026-82329。CVE-2026-42018 屬於高嚴重性漏洞，問題在於即使管理者已關閉匿名存取，Artifactory 仍可能把內部匿名使用者的權杖（token）回傳給未經身分驗證的請求者。CVE-2026-42016 同樣是高嚴重性，成因是 Artifactory 未能正確驗證請求權杖的範圍，使持有低權限權杖的攻擊者能執行未授權操作並提升權限。CVE-2026-82329 則被評為關鍵（critical）等級，允許未經身分驗證的攻擊者直接取得管理員控制權。
在實際觀察到的攻擊中，前兩個漏洞經常被串連使用，且手法高度一致。攻擊者先向 /access/api/v1/aws/token/ 這個端點發送未經身分驗證的 POST 請求，特別之處在於 URL 結尾加上斜線，即可觸發 CVE-2026-42018，讓伺服器回傳 HTTP 200 並附上一組屬於內部匿名使用者的 JWT（JSON Web Token，一種用於在系統間傳遞身分與授權資訊的簽章權杖）。接著，攻擊者拿這組 JWT 向 /access/api/v1/tokens 發送請求，利用 CVE-2026-42016 的範圍驗證缺陷，把匿名權杖換成一組具備管理員範圍的權杖。由於這組升級後的權杖仍保留 anonymous 使用者名稱，後續操作在日誌中會顯示為 token:anonymous，具有一定的掩蔽效果。至於 CVE-2026-82329，則可單獨利用，直接取得管理員範圍的權杖，不需要上述串連步驟。
Wiz.io 指出，這些漏洞的利用門檻極低，只需要少數幾個未經身分驗證的 HTTP 請求即可完成。更值得注意的是，第三個漏洞公開後僅四天，就已觀察到實際攻擊出現，顯示攻擊者對此類目標的反應速度非常快。
入侵後行為與供應鏈風險
取得管理員權限並非攻擊的終點。根據觀察，攻擊者在完成權限提升後，會進行一系列危險的後續操作，包括建立持久化的管理員帳號以維持長期存取、部署惡意 Groovy 外掛程式以執行任意程式碼、竊取憑證與 Access 簽章金鑰、建立後門，以及部署反鑑識機制來清除或掩蓋入侵痕跡。其中 Groovy 外掛是 Artifactory 原生支援的擴充機制，本來用於客製化倉庫行為，但這也意味著它能在伺服器上執行任意程式碼，成為攻擊者現成的武器。
這類入侵之所以特別危險，原因在於 Artifactory 的供應鏈地位。資安專家 Erik York 在 LinkedIn 上評論指出，Artifactory 位於大量軟體供應鏈的中心，這種漏洞若未及時修補，很可能演變成下一個 SolarWinds 等級的事件——攻擊者一旦控制產物倉庫，就有機會在建置產物中植入惡意內容，再順著正常的發布流程擴散到下游所有使用者，影響層面遠大於單一伺服器被入侵。Graylog 資深資安總監 Jim Nitterauer 也強調，由於 Artifactory 是軟體建置管線的核心，其被攻陷等同於直接的供應鏈風險，而目前的修補採用速度明顯落後。
修補建議與限制
所有自行架設 Artifactory 的環境都應立即升級至已修復的版本，依部署的 release branch 不同，修復版本包括 7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20 或更新版本。
然而，Wiz.io 提出了一個關鍵提醒：升級只能關上門，無法把已經進來的攻擊者趕出去。如果 Artifactory 實例在漏洞存在期間曾暴露於網際網路，應直接假設系統可能已遭入侵，並主動搜尋後續利用的痕跡，例如異常的管理員帳號、非預期的 Groovy 外掛、可疑的權杖發放紀錄，以及以 token:anonymous 身分執行的高權限操作。單純完成版本升級而未進行入侵檢查，可能讓攻擊者先前建立的後門與持久帳號繼續存在。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。