Ataki łańcuchowe na Artifactory i PaperCut

Ataki na narzędzia firmowe przyspieszają

Dwa szeroko używane elementy firmowej infrastruktury znalazły się ostatnio pod presją aktywnych ataków: JFrog Artifactory oraz PaperCut NG/MF. W obu przypadkach napastnicy wykorzystywali poważne luki bezpieczeństwa, a celem było przejęcie kontroli nad systemem, instalowanie backdoorów albo uzyskanie nieautoryzowanego dostępu do środowiska.

To ważny sygnał dla administratorów, bo oba produkty są często osadzone głęboko w organizacyjnych procesach — od budowania oprogramowania po zarządzanie drukiem i dokumentami.

Artifactory: łańcuch dwóch luk prowadzi do administratora

W przypadku JFrog Artifactory atakujący łączyli dwie podatności, by przejąć uprawnienia administratora na serwerach self-hosted i wgrać backdoory.

Wykorzystywany schemat opierał się na zestawieniu:

• CVE-2026-42018 – pozwalało to uzyskać wewnętrzny token użytkownika anonimowego, nawet gdy anonimowy dostęp był wyłączony.
• CVE-2026-42016 – umożliwiało wymianę takiego nisko uprzywilejowanego tokenu na token z zakresem administratora.

Żadna z tych luk nie dawała pełnej kontroli samodzielnie, ale razem tworzyły skuteczny łańcuch ataku. W praktyce napastnik wysyłał niezautoryzowane żądanie do punktu końcowego tokenów, pobierał token anonimowego użytkownika, a następnie zamieniał go na token administracyjny.

Istotnym szczegółem jest to, że działania wykonane takim tokenem mogły w logach wyglądać jak aktywność konta token:anonymous, co utrudniało szybką identyfikację incydentu.

Co robili atakujący po przejęciu dostępu

Po zdobyciu uprawnień administratora obserwowano różne działania, m.in.:

• tworzenie nowych kont administracyjnych,
• instalowanie złośliwych pluginów Groovy w mechanizmie wtyczek Artifactory,
• wykonywanie komend powłoki przez punkt końcowy uruchamiania pluginów,
• pobieranie plików binarnych przez HTTP i zapisywanie ich w katalogach typu /tmp,
• uruchamianie komunikacji z serwerem command-and-control,
• zrzucanie niestandardowego backdoora napisanego w Rust.

W części przypadków przejście od pierwszego żądania do utworzenia nowego konta administratora trwało mniej niż pięć minut.

Aktualizacje nie cofają skutków włamania

Samo załatanie podatności nie usuwa tego, co zostało już utworzone w systemie. Jeśli napastnik zdołał dodać konto administracyjne, przejąć token lub wyciągnąć cluster join key, to te elementy nadal mogą stanowić zagrożenie po aktualizacji.

Dlatego zalecane działania obejmują nie tylko instalację poprawki, lecz także:

• sprawdzenie nietypowych kont administratorów,
• unieważnienie tokenów wydanych po określonym czasie,
• rotację klucza łączenia klastra,
• przegląd konfiguracji, repozytoriów i zmian w ustawieniach.

Dla starszych wydań Artifactory problemem jest również inna podatność, CVE-2026-82329, która sama w sobie pozwala nieautoryzowanemu napastnikowi zdobyć prawa administratora. W takim przypadku zalecano też obejście polegające na dodaniu losowej wartości jako dodatkowego join key w pliku system.yaml.

PaperCut: aktywnie wykorzystywane luki i nowe wydanie

Drugi wątek dotyczy PaperCut NG/MF, gdzie producent opublikował nowe wydanie konserwacyjne zastępujące wcześniejsze emergency patche. Chodzi o wersje:

• 26.0.5,
• 25.0.13,
• 24.1.10.

Nowe wydanie zawiera wszystkie wcześniejsze poprawki bezpieczeństwa, a także dodatkowe wzmocnienia i usunięcie regresji. Zastępuje ono tymczasowe łatki przygotowane po wykryciu aktywnie wykorzystywanych podatności.

Problem dotyczy dwóch luk:

• CVE-2026-81578,
• CVE-2026-82078.

Obie były wykorzystywane w atakach do obejścia uwierzytelniania i wykonania dowolnego kodu na podatnych instancjach.

Ataki na dużą skalę

W jednym z opisanych przypadków widziano kampanię prowadzoną przez podejrzanego rosyjskojęzycznego aktora, który miał używać setek agentów AI opartych o narzędzia automatyzujące pracę, aby skanować i atakować organizacje masowo. Celem były co najmniej 395 organizacje w 48 krajach, z przewagą podmiotów z sektora edukacyjnego w Stanach Zjednoczonych.

Ataki pochodziły z adresu IP 45.142.193[.]132.

Warto też zwrócić uwagę, że część infrastruktury i logiki kampanii była nastawiona na omijanie wybranych państw, w tym m.in. Rosji, Chin, Hongkongu, Tajlandii i Iranu.

Co powinni zrobić administratorzy

Najważniejszy wniosek jest prosty: same emergency patche nie powinny być traktowane jako stan docelowy. Jeśli producent udostępnił pełne wydanie konserwacyjne, warto jak najszybciej przejść właśnie na nie.

W przypadku Artifactory i PaperCut kluczowe są trzy działania:

1. Natychmiastowa aktualizacja do wersji zawierających poprawki.
2. Weryfikacja kompromitacji — konto administratora, tokeny, zmiany konfiguracji, pluginy, ślady shell access.
3. Rotacja sekretów i tokenów, jeśli system mógł być już przejęty.

To kolejny przykład, że w środowiskach firmowych szczególnie groźne są błędy w produktach stojących blisko krytycznych procesów. Gdy napastnik przejmie takie narzędzie, jego dalszy ruch w sieci bywa już tylko kwestią czasu.