a server, sekaligus memberikan mekanisme yang lebih mudah untuk mempertahankan akses setelah kompromi awal berhasil dilakukan.

Dalam beberapa insiden, Wiz menemukan bahwa penyerang kemudian memasang backdoor khusus berbasis Rust yang memiliki kemampuan komunikasi dengan command-and-control (C2).

“Between August 15 and September 8, 2026, we observed multiple actors chain CVE-2026-42018 and CVE-2026-42016 against self-hosted Artifactory instances.”

Wiz juga menemukan indikasi bahwa aktivitas tersebut dilakukan oleh beberapa kelompok atau pelaku berbeda, bukan hanya satu operator.

Backdoor Rust Menjadi Persistence

Setelah akses administratif diperoleh, serangan berkembang menjadi kompromi yang lebih dalam.

Backdoor Rust yang ditemukan Wiz digunakan sebagai salah satu mekanisme persistence, sehingga penyerang dapat mempertahankan akses dan berkomunikasi dengan infrastruktur C2.

Pada tahap lanjutan, pelaku mengunduh payload tambahan ke sejumlah direktori sementara Linux, termasuk:

• /dev/shm
• /tmp
• /var/tmp

Penyerang juga terlihat mengunggah webshell, mencuri konfigurasi Artifactory dan cluster join keys, serta melakukan enumerasi terhadap repository, token, dan akun pengguna.

Dalam beberapa kasus, pelaku turut menambahkan SSH key mereka ke akun baru yang dibuat di server untuk mempertahankan akses secara lebih langsung.

Aktivitas tersebut menunjukkan bahwa eksploitasi tidak berhenti pada pengambilalihan akun administrator. Setelah berhasil masuk, penyerang melakukan berbagai tindakan untuk memperluas kendali dan mempertahankan akses ke lingkungan Artifactory.

Hampir Separuh Instance Rentan

Wiz memperkirakan antara 49% hingga 62% instance Artifactory yang dapat dijangkau masih rentan terhadap setidaknya satu dari tiga kerentanan yang digunakan dalam serangan.

Angka tersebut menjadi perhatian serius karena Artifactory umumnya digunakan sebagai bagian penting dari infrastruktur pengembangan software untuk menyimpan dan mendistribusikan package maupun artifact.

Kompromi terhadap server Artifactory berpotensi memberikan penyerang akses terhadap berbagai informasi internal, credential, token, repository, dan komponen lain yang berkaitan dengan proses pengembangan software.

Administrator Diminta Segera Upgrade

Wiz dan pihak keamanan terkait merekomendasikan administrator untuk segera memperbarui JFrog Artifactory ke versi yang telah mendapatkan perbaikan.

Versi minimum yang direkomendasikan adalah:

• 7.111.21
• 7.117.28
• 7.125.20
• 7.133.29
• 7.146.38
• 7.161.20

Administrator sebaiknya menggunakan versi tersebut atau versi yang lebih baru.

Namun, memasang patch saja belum cukup bagi server yang telah terekspos ke internet. Administrator juga disarankan melakukan pemeriksaan terhadap kemungkinan kompromi sebelumnya.

Beberapa indikator yang perlu diperiksa antara lain:

• Pembuatan token yang tidak dikenal
• Akun administrator baru yang mencurigakan
• Aktivitas plugin yang tidak sah
• Request enumerasi repository, token, atau pengguna
• File atau payload mencurigakan pada /dev/shm, /tmp, dan /var/tmp
• Webshell yang tidak dikenal
• SSH key yang tiba-tiba ditambahkan ke akun

Akses Artifactory yang dapat dijangkau dari internet juga sebaiknya dibatasi hanya untuk sistem atau jaringan yang memang dipercaya.

Wiz telah menyediakan Indicators of Compromise (IoC) yang berkaitan dengan serangan yang mereka amati sehingga administrator dapat menggunakannya untuk membantu proses threat hunting.

JFrog sendiri belum memberikan tanggapan terkait laporan eksploitasi tersebut hingga artikel sumber diterbitkan.

Dengan adanya aktivitas eksploitasi yang sudah diamati di dunia nyata dan kemampuan serangan untuk berubah dari authentication bypass menjadi akses administrator serta deployment backdoor, administrator Artifactory self-hosted sebaiknya memperlakukan pembaruan keamanan ini sebagai prioritas tinggi.

Sumber: Wiz