На 11 септември CISA вписа четири уязвимости като активно експлоатирани. Две са в JFrog Artifactory - сървъра, в който фирмите държат пакетите и артефактите си. Другите две са в GitLab, с оценка 10.0, и в ScreenConnect, като срокът за тях е само три дни.
- CVE-2026-42016: Artifactory проверява подписа и издателя на токена, но не и обхвата му, което позволява повишаване на правата. Засяга версии преди 7.133.11.
- CVE-2026-42018: Artifactory може да върне вътрешния токен на анонимния потребител на повикващ без вход, когато анонимният достъп е изключен.
- CVE-2026-85706 в GitLab: четене на произволни файлове без вход. CVE-2026-84869 в ScreenConnect: прехвърляне и изпълнение на файлове без разрешение.
Artifactory е мястото, откъдето сглобяването на софтуера ти тегли пакети. Склад, през който минава всичко. Ако го пипне някой чужд, проблемът стига до всеки, който тегли от склада.
Това лято писахме за Artifactory по друг повод: заради доклада на OpenAI за инцидента с Hugging Face. Да е ясно още отсега: тия две дупки не са онази. Официален източник, който да ги свързва, няма. Общото е само софтуерът.
Токенът, на който се проверява само подписът
Първата дупка в Artifactory е от онези, които звучат дребно в описанието. Системата проверява дали токенът е истински и кой го е издал, и спира дотам. Не пита за какво е издаден. Пропускът за склада отваря и кабинета на директора.
Втората е по-неприятна, защото удря точно тези, които са си свършили работата и са изключили анонимния достъп.
GitLab и ScreenConnect: три дни
GitLab с 10.0 е дупката, която при определени условия чете произволни файлове от сървъра без никакъв вход. GitLab пусна поправката на 10 септември, CISA я вписа на следващия ден и даде три дни.
ScreenConnect е инструмент за отдалечен достъп, с който доставчици влизат в машините на клиентите си. Дупка в него при определени обстоятелства значи файл, пуснат на чужд компютър през легитимна сесия. ConnectWise дава и временна мярка, докато обновиш: махаш правото TransferFiles от ролите.
GitLab и ScreenConnect са за днес. Artifactory има по-дълъг срок, но складът, от който тегли целият ти софтуер, не е мястото, където да чакаш до последния ден.