JFrog 아티팩토리 취약점 3건 공격 확산… 패치 적용률은 절반 수준

더 레지스터(The Register)는 11일 소프트웨어 저장소 관리 도구 JFrog 아티팩토리(Artifactory)의 취약점 3건이 실제 공격에 악용되고 있다고 보도했다. 보안업체 위즈(Wiz)는 이 매체에 전달한 보고서에서 "여러 환경에서 3건 모두의 실제 악용을 확인했다"고 밝혔다.

문제가 된 취약점은 익명 사용자 토큰이 인증 없이 노출되는 CVE-2026-42018(8월 12일 패치), 토큰 범위 검증 미흡으로 권한 상승이 가능한 CVE-2026-42016(7월 27일 패치), 인증 없이 관리자 권한을 획득할 수 있는 치명적 등급의 CVE-2026-82329(8월 28일 패치)다. 세 건 모두 이미 수정판이 배포됐고, 공격은 패치 공개 이후에 시작된 것으로 파악됐다.

위즈에 따르면 8월 15일부터 9월 8일 사이 다수의 공격자가 앞선 두 취약점을 연계해 자체 호스팅 인스턴스의 관리자 권한을 탈취했으며, 러스트(Rust)로 제작된 맞춤형 백도어를 설치해 명령·제어 통로를 만든 사례가 확인됐다. 이후 상시 관리자 계정 생성, 원격 코드 실행을 위한 그루비(Groovy) 플러그인 설치, 웹셸 업로드 등이 이어졌다. 9월 1~8일에는 CVE-2026-82329를 노린 공격이 관측됐는데, 설정 정보 유출과 장기 사용 토큰 발급, 키 탈취 등 양상이 제각각이어서 단일 공격자의 소행은 아닌 것으로 분석됐다.

패치 적용은 더디다. 위즈 집계로 CVE-2026-42016은 공개 6주 뒤에도 조직의 59%가, CVE-2026-42018은 4주 뒤 62%가 여전히 취약한 상태다. 치명적 등급인 CVE-2026-82329조차 2주가 지난 시점에 49%가 조치를 마치지 않았다. 연구진은 인터넷에 노출된 인스턴스부터 우선 조치하고 접근 가능한 네트워크를 신뢰된 사용자로 제한할 것을 권고했다. JFrog는 이번 공격과 관련한 더 레지스터의 문의에 답하지 않았다.