# Artifactory : un jeton administrateur peut devenir une porte sur la supply chain

> JFrog décrit un bypass d’authentification par défaut et Wiz observe son exploitation. Analyse des jetons admin, plugins Groovy et risques persistants après patch.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/jfrog-artifactory-jetons-admin-persistants-2026/

**Avis JFrog du 28 août 2026 ; exploitation observée en septembre.** [JFrog](https://docs.jfrog.com/releases/docs/jfrog-security-advisories) classe **CVE-2026-82329** comme un contournement d'authentification qui, dans la configuration par défaut d'Artifactory auto-hébergé, peut fournir des privilèges administrateur à un acteur sans compte. [Wiz Research](https://www.wiz.io/blog/artifactory-under-attack-in-the-wild-exploitation-of-cve-2026-42016-cve-2026-42018-cve-2026-82329) a observé plusieurs exploitations réussies, puis la création de comptes persistants et l'installation de plugins Groovy malveillants. Le dépôt de paquets est une cible à fort effet de levier : celui qui contrôle son administration peut aussi influencer les artefacts et les intégrations de livraison en aval.

## La primitive observée : de l'appel anonyme au jeton admin

Wiz rapporte qu'entre le 1er et le 8 septembre, le motif initial de CVE-2026-82329 était une requête non authentifiée vers une fonction de jonction de registre, suivie d'une réponse contenant un jeton de portée administrative. Le point important n'est pas de mémoriser l'URL : c'est l'absence de vérification de l'identité ou du contexte avant de délivrer un jeton administratif. Un jeton signé et accepté par le serveur reste dangereux si le processus qui l'a émis n'aurait jamais dû le remettre à cet appelant.

Un jeton admin n'est pas encore la preuve qu'un paquet a été empoisonné. Wiz observe des étapes de suivi distinctes : lecture de configuration, création d'utilisateurs administrateurs, émission de jetons durables, récupération de clés de cluster et déploiement de plugins. Ces actions indiquent une compromission du **plan de contrôle** du registre. Elles peuvent persister au-delà du correctif : un compte créé et un plugin installé restent présents tant qu'ils ne sont pas révoqués et retirés.

## Pourquoi le plugin change la nature de l'incident

Artifactory accepte des plugins utilisateur Groovy qui s'exécutent dans sa JVM avec les droits du service. Cette fonctionnalité est légitime pour l'extension du produit ; une fois les droits administrateur obtenus, elle devient une route d'exécution de code et de persistance. Wiz décrit des plugins observés qui exposaient une interface de commande et étaient rechargés après redémarrage. Il rapporte également des portes dérobées Rust dans certaines intrusions. Le risque pour la supply chain dépend ensuite des dépôts, clés, secrets et pipelines réellement connectés à l'instance compromise ; l'avis ne prouve pas que tous les consommateurs ont reçu un artefact modifié.

Wiz détaille aussi une **autre chaîne**, combinant CVE-2026-42018, qui exposait un jeton d'utilisateur anonyme interne, et CVE-2026-42016, qui en contrôlait mal la portée. Il faut conserver ces deux chemins séparés : l'un part de CVE-2026-82329, l'autre combine deux CVE antérieures, même si leur résultat final et certains comportements après intrusion se ressemblent. Fusionner les trois en une unique requête d'exploit ferait perdre le mécanisme.

## Vérifier et enquêter

Un audit autorisé compare le comportement d'un client anonyme et d'un administrateur sur les fonctions d'émission de jetons et de jonction de registre, puis vérifie que la version corrigée refuse la première. Pour un système réellement exposé, le contrôle ne s'arrête pas à la version : il faut inventorier les utilisateurs ajoutés, les jetons émis, les clés de jonction consultées, les plugins présents sur disque et les accès aux dépôts. Wiz souligne que la simple présence d'une requête réussie vers l'endpoint suspect ne suffit pas à déclarer une intrusion : elle doit être corrélée à des actions et à leur contexte.

JFrog fournit plusieurs versions corrigées selon la branche, notamment **7.161.20** pour la ligne 7.161 ; le tableau de l'[avis officiel](https://docs.jfrog.com/releases/docs/jfrog-security-advisories) doit guider chaque déploiement. Le correctif ferme l'entrée vulnérable. La remise en confiance demande en plus la révocation des identités, la suppression des plugins inconnus et la rotation des clés qui auraient été lues.

Cette affaire montre pourquoi l'administration d'un dépôt de logiciels mérite le même niveau de réponse qu'une compromission CI/CD : elle détient des capacités qui touchent le serveur lui-même et les produits fabriqués à partir de ses artefacts.

**Sources principales :** [advisory JFrog](https://docs.jfrog.com/releases/docs/jfrog-security-advisories), [enquête Wiz sur l'exploitation et la persistance](https://www.wiz.io/blog/artifactory-under-attack-in-the-wild-exploitation-of-cve-2026-42016-cve-2026-42018-cve-2026-82329).