소프트웨어 개발에 널리 쓰이는 JFrog Artifactory(소프트웨어 패키지 저장·관리 도구)에서 심각한 취약점 3개가 발견됐으며, 실제 공격에 악용되고 있습니다. 공격자는 두 취약점을 연달아 이용해 관리자 권한을 탈취한 뒤, 러스트(Rust) 언어로 만들어진 백도어(원격 조종용 악성코드)를 설치했습니다. 2026년 8월 15일부터 9월 8일 사이에 다수의 공격이 확인됐으며, 인터넷에 노출된 Artifactory 인스턴스의 49~62%가 이 취약점 중 하나 이상에 취약한 상태입니다. 관리자는 즉시 패치 버전으로 업그레이드하고, 의심스러운 토큰 생성·관리자 계정·플러그인 활동을 점검해야 합니다.
공격자들이 JFrog Artifactory의 취약점 CVE-2026-42018과 CVE-2026-42016을 연쇄 악용해 관리자 권한을 획득하고, Rust 기반 백도어와 웹쉘을 배포했다. 세 번째 취약점 CVE-2026-82329는 관리자 토큰을 위조할 수 있는 인증 우회 결함으로, CISA KEV(실제 악용 확인 목록)에 등재됐다.
공격자는 관리자 계정 생성, 장기 액세스 토큰 발급, 악성 Groovy 플러그인 설치, 설정 데이터 및 클러스터 키 탈취, 저장소·토큰·사용자 정보 열람, SSH 키 이식 등을 수행했다. 인터넷에 노출된 Artifactory 인스턴스의 49~62%가 취약한 것으로 추정된다.
CVE-2026-42018은 익명 접근이 비활성화된 상태에서도 내부 익명 사용자의 JWT를 탈취할 수 있는 결함이며, CVE-2026-42016은 토큰 검증 미흡으로 인해 해당 JWT를 관리자 권한 토큰으로 교환할 수 있는 취약점이다.
JFrog은 패치 버전을 릴리스했으며, 관리자는 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 이상으로 즉시 업그레이드해야 한다. 업그레이드 후 인터넷 노출 인스턴스에서 비정상 토큰 생성, 무단 관리자 계정, 의심 플러그인 활동, 열람 요청 등을 조사하고 신뢰된 시스템만 접근 허용하도록 제한해야 한다.
Wiz가 공개한 침해 지표(IoC)를 활용해 공격 여부를 빠르게 탐지할 수 있다. 자체 호스팅(self-hosted) Artifactory 운영 조직은 인터넷 노출 여부를 즉시 확인하고 패치를 최우선으로 적용해야 한다.
본문
위협 행위자들이 JFrog Artifactory의 심각한(critical·high) 취약점을 악용해 인증을 우회하고, 관리자 권한을 탈취하며, 취약한 자체 호스팅 서버에 Rust 백도어를 배포하고 있습니다.
클라우드 보안 기업 Wiz의 새 보고서는 여러 환경에서의 악용 사례를 확인했으며, CVE-2026-42018과 CVE-2026-42016을 결합한 익스플로잇 체인도 포함됩니다.
세 번째 취약점인 CVE-2026-82329는 공세적 보안 기업 watchTowr가 이달 초 관리자 토큰 위조에 악용되는 것을 관측한 치명적 인증 우회 취약점입니다.
Wiz에 따르면, 공격자는 먼저 CVE-2026-42018을 이용해 익명 접근이 비활성화된 상태에서도 낮은 권한으로 Artifactory 내부 익명 사용자의 JWT(JSON Web Token)를 탈취합니다.
이어서 CVE-2026-42016의 불충분한 토큰 검증 결함을 악용해 해당 토큰의 권한을 관리자 수준으로 상승시킵니다.
8월 15일부터 9월 8일 사이, 복수의 위협 행위자가 두 취약점을 연쇄 악용하여 내부 익명 사용자의 JWT를 획득한 뒤 관리자 범위의 토큰으로 교환했습니다.
연구진은 일부 사례에서 공격자가 5분도 채 안 되어 관리자 계정을 생성했다고 밝혔습니다.
관리자 계정을 만들고 장기 액세스 토큰을 발급한 후, 공격자들은 악성 Groovy 플러그인을 설치해 임의 명령을 실행하고, Rust 기반 백도어를 배포해 지속적인 접근 권한을 확보했습니다.
Wiz는 "2026년 8월 15일부터 9월 8일 사이, 자체 호스팅 Artifactory 인스턴스를 대상으로 CVE-2026-42018과 CVE-2026-42016을 연쇄 악용하는 다수의 공격자를 관측했다"고 밝혔습니다.
"여러 사례에서 C2(명령·제어) 기능을 갖춘 커스텀 Rust 백도어가 드롭되는 것을 확인했다"고도 전했습니다.
다음 단계에서 위협 행위자는 /dev/shm, /tmp, /var/tmp 경로에 추가 페이로드를 다운로드하고, 웹쉘을 업로드하며, Artifactory 설정 데이터와 클러스터 조인 키를 탈취하고, 저장소·토큰·사용자를 열람한 뒤 새로 생성한 계정에 SSH 키를 추가했습니다.
Wiz는 접근 가능한 Artifactory 인스턴스의 49~62%가 세 가지 취약점 중 하나 이상에 취약하다고 경고했습니다.
시스템 관리자는 아래 Artifactory 릴리스 버전 이상으로 즉시 업그레이드할 것을 권고합니다:
- 7.111.21
- 7.117.28
- 7.125.20
- 7.133.29
- 7.146.38
- 7.161.20
업그레이드 후에는 인터넷에 노출된 인스턴스에서 예기치 않은 토큰 생성, 불법 관리자 계정, 의심스러운 플러그인 활동, 열람 요청 등을 조사하고 신뢰된 시스템만 접근할 수 있도록 제한하십시오.
Wiz는 방어자가 공격을 신속히 탐지할 수 있도록 관측된 공격과 관련된 침해 지표(IoC)를 공개했습니다.
BleepingComputer는 JFrog에 보고된 활동에 대한 확인을 요청했으나, 기사 게재 시점까지 응답을 받지 못했습니다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 참여하는 2시간짜리 디지털 서밋에 참가하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 그만해야 할 것은 무엇인지, 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
좌석 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
