كشفت شركة Wiz للأمن السحابي عن قيام مهاجمين باستغلال ثغرتين مترابطتين في منصة JFrog Artifactory، وهي المستودع الذي تعتمد عليه خطوط بناء البرمجيات، للسيطرة على الخوادم ذاتية الاستضافة بصلاحيات المدير وزرع أبواب خلفية. الثغرة الأولى CVE-2026-42018 تسمح بإرجاع رمز مستخدم مجهول حتى عند تعطيل الوصول المجهول، بينما الثانية CVE-2026-42016 تتيح ترقية هذا الرمز منخفض الصلاحيات إلى رمز بامتيازات المدير بسبب ضعف في التحقق من صلاحيات الرموز. الجمع بين الثغرتين مكّن المهاجمين من إنشاء حسابات إدارية في أقل من خمس دقائق.
استغلال واسع النطاق
الهجمات رُصدت بين 15 أغسطس و8 سبتمبر 2026، واستهدفت خوادم لم تُحدّث بعد. المهاجمون أنشأوا حسابات إدارية، وزرعوا إضافات خبيثة عبر إطار عمل Groovy Plugins، ما منحهم القدرة على تنفيذ أوامر على الخادم. كما تم تنزيل برمجيات خبيثة عبر HTTP، بينها باب خلفي مكتوب بلغة Rust بقدرات اتصال وتحكم عن بُعد.
ثغرة ثالثة حرجة
إلى جانب السلسلة السابقة، استُغلت ثغرة منفصلة CVE-2026-82329 بين 1 و8 سبتمبر، وهي تجاوز مصادقة خطير بدرجة 9.8 على مقياس CVSS، يتيح للمهاجم غير المصدق الحصول على صلاحيات المدير مباشرة في الإعداد الافتراضي لـ Artifactory. هذه الثغرة أثرت على ستة فروع إصدارات حتى النسخة 7.161، وشهدت أكثر من 406,000 محاولة استغلال في يوم واحد وفقاً لتحليل شركة Fastly.
التدابير المطلوبة
- الترقية إلى الإصدارات المصححة وفق جداول JFrog الأمنية:
- CVE-2026-42018: أُصلحت في نسخ مثل 7.111.20 و7.117.27 و7.125.19 و7.133.28 و7.146.8.
- CVE-2026-42016: أُصلحت في النسخة 7.133.11.
- CVE-2026-82329: أُصلحت في نسخ مثل 7.111.21 و7.117.28 و7.125.20 و7.133.29 و7.146.38 و7.161.20.
- تدوير مفاتيح الانضمام (Join Keys) وإلغاء الرموز المصدرة منذ 28 أغسطس.
- مراجعة الحسابات الإدارية والإعدادات للتأكد من عدم وجود حسابات مشبوهة بأسماء مثل 0xTerror أو svc_ أو labadmin_.
خلفية أمنية
تؤكد هذه الحوادث أن منصات DevOps أصبحت هدفاً رئيسياً لمهاجمين يسعون إلى السيطرة على سلاسل التوريد البرمجية. استغلال ثغرات في إدارة الرموز والاعتماد على إضافات قابلة للتنفيذ يبرز خطورة الإعدادات الافتراضية غير المحصنة، ويستدعي تعزيز الممارسات الأمنية في المؤسسات التي تعتمد على Artifactory.
