CVE-2026-42018: Token anonimo esposto in JFrog Artifactory

JFrog Artifactory è un repository manager ampiamente usato in ambienti enterprise. La vulnerabilità CVE-2026-42018 consente a utenti non autenticati di ottenere token anonimi interni anche quando l'accesso anonimo è stato esplicitamente disabilitato dalle policy di sicurezza. Questi token potrebbero consentire accesso a risorse sensibili come artefatti, configurazioni o metadati. L'impatto è significativo per organizzazioni che si affidano a Artifactory per la gestione di artefatti critici.

Il punteggio CVSS è 7,5, classificato HIGH. La vulnerabilità è stata registrata su NVD il 12 agosto 2026. Un elemento critico è l'apparizione di un PoC pubblico su GitHub il 7 novembre 2026: questo segnala il passaggio dalla fase di ricerca a quella di possibile sfruttamento attivo. L'urgenza aumenta significativamente per organizzazioni che non hanno ancora applicato mitigazioni.

I team IT e i CISO devono: verificare immediatamente quale versione di Artifactory è in produzione, consultare l'advisory ufficiale JFrog per versioni interessate e disponibilità di patch, applicare la correzione non appena disponibile, verificare log di accesso per rilevare eventuali tentativi di sfruttamento. Non scaricare PoC da repository pubblici; concentrare le risorse su patching e detection.