مهاجمان از آسیب‌پذیری حیاتی جی‌فراگ آرتیفکتوری برای جعل توکن‌های ادمین سوءاستفاده می‌کنند

برای اینکه یک مهاجم بتواند زنجیره تأمین نرم‌افزاری یک شرکت را از طریق آسیب‌پذیری تازه کشف‌شده جی‌فراگ آرتیفکتوری به خطر بیندازد، یک شرط باید برقرار باشد: سازمان هدف باید نمونه (instance) خود را بدون اعمال وصله اضطراری در معرض اینترنت عمومی قرار داده باشد. در اوایل سپتامبر ۲۰۲۶، این وضعیت در هزاران محیط سازمانی در حال وقوع است. هکرها فعالانه در حال بهره‌برداری از سی‌وی‌ای ۲۰۲۶-۸۲۳۲۹ (CVE-2026-82329)، یک نقص حیاتی در این مخزن مصنوعات پرکاربرد، برای جعل توکن‌های مدیریتی و به دست گرفتن کنترل خطوط لوله توسعه نرم‌افزار هستند.[1][3][7]

بهره‌برداری از این نقص ظرف ۴۸ ساعت پس از افشای عمومی آسیب‌پذیری در تاریخ ۱ سپتامبر ۲۰۲۶ آغاز شد. محققان امنیتی در اس‌او‌سی پرایم (SOC Prime) و چندین شرکت اطلاعات تهدید تأیید کردند که مهاجمان از این نقص برای دور زدن کامل مکانیسم‌های احراز هویت استفاده می‌کنند. با جعل توکن‌های ادمین غیرمجاز، بازیگران تهدید توانایی تغییر کد منبع، تزریق وابستگی‌های مخرب و دسترسی به دارایی‌های نرم‌افزاری اختصاصی را قبل از ارسال به کاربران نهایی به دست می‌آورند.[4][6][7]

جی‌فراگ آرتیفکتوری به عنوان یک مرکز اصلی برای ذخیره و مدیریت باینری‌های نرم‌افزاری عمل می‌کند و آن را به هدفی با ارزش بالا برای حملات زنجیره تأمین تبدیل می‌کند. در حالی که فروشندگان امنیتی اغلب عجله دارند هر آسیب‌پذیری جدیدی را به عنوان یک بحران بی‌سابقه معرفی کنند، مکانیسم سی‌وی‌ای ۲۰۲۶-۸۲۳۲۹ واقعاً مستلزم توجه فوری است.

این نقص در نحوه مدیریت توکن‌های دسترسی توسط پلتفرم قرار دارد؛ به جای نیاز به اجرای کد از راه دور پیچیده، مهاجم صرفاً فرآیند تولید توکن را دستکاری می‌کند تا بالاترین سطح امتیازات سیستمی را به خود اعطا کند.[3][5]

بر اساس گزارش ۲ سپتامبر بلیپینگ کامپیوتر (Bleeping Computer)، این آسیب‌پذیری نمونه‌هایی را تحت تأثیر قرار می‌دهد که به‌روزرسانی اضطراری منتشر شده در اواخر آگوست ۲۰۲۶ را اعمال نکرده‌اند. اگرچه جی‌فراگ تعداد دقیق مشتریان آسیب‌دیده را علناً فاش نکرده است، داده‌های اسکن اینترنتی نشان می‌دهد که تعداد قابل توجهی از هزاران نمونه فعال همچنان در دسترس عموم و احتمالاً وصله‌نشده باقی مانده‌اند. سرعت حملات نشان می‌دهد که اسکریپت‌های خودکار اسکن و بهره‌برداری تقریباً بلافاصله پس از عمومی شدن جزئیات فنی توسعه یافته‌اند.[2][3][5]

جی‌فراگ از همه مشتریان داخلی (on-premises) و خودمیزبان (self-hosted) خواسته است که فوراً سیستم‌های خود را ارتقا دهند. نمونه‌های میزبانی‌شده ابری که مستقیماً توسط فروشنده مدیریت می‌شوند، قبل از افشای عمومی وصله شدند و خطر را برای بخشی از کاربران کاهش دادند. با این حال، سازمان‌هایی که زیرساخت خود را مدیریت می‌کنند، مسئولیت اعمال این اصلاحیه را بر عهده دارند، فرآیندی که اغلب مستلزم هماهنگی زمان توقف کار در تیم‌های توسعه جهانی است.[4]

این حادثه بلافاصله یادآور بحران‌های قبلی زنجیره تأمین نرم‌افزار است، جایی که محیط‌های ساخت (build environments) به خطر افتاده برای توزیع بدافزار به مشتریان پایین‌دستی استفاده شدند. سکیوریتی‌ویک (SecurityWeek) در ۱ سپتامبر گزارش داد که بهره‌برداری فعال از نقص آرتیفکتوری، جامعه گسترده‌تر امنیت سایبری را در حالت آماده‌باش قرار داده است.

هیچ یک از ۷ هشدار امنیتی منتشر شده بین ۱ و ۲ سپتامبر، بازیگران تهدید خاص پشت این کمپین را شناسایی نمی‌کند و همچنین نقل قولی مستقیم از تیم‌های واکنش به حادثه در محل ارائه نمی‌دهد، که نشان‌دهنده ماهیت اولیه و آشفته واکنش در حال انجام است.[1][2][3][4][5][6][7]

تمرکز فوری تیم‌های واکنش به حادثه اکنون از وصله‌کردن به سمت تحقیقات پزشکی قانونی (Forensic) تغییر می‌کند. از آنجایی که مهاجمان با موفقیت توکن‌های مدیریتی را جعل کرده‌اند، صرفاً اعمال به‌روزرسانی نرم‌افزاری، مهاجمی را که قبلاً پایداری (persistence) ایجاد کرده است، بیرون نمی‌کند. سازمان‌ها باید گزارش‌های دسترسی آرتیفکتوری خود را برای رویدادهای تولید توکن غیرعادی که به اواخر آگوست ۲۰۲۶ بازمی‌گردد، ممیزی کنند؛ یک وظیفه پزشکی قانونی که تعیین می‌کند آیا پایگاه‌های کد اختصاصی آن‌ها قبلاً بی‌سروصدا تغییر داده شده‌اند یا خیر.[6][7]

سرعتی که سی‌وی‌ای ۲۰۲۶-۸۲۳۲۹ از افشا تا بهره‌برداری فعال طی کرد، نشان‌دهنده کوچک شدن پنجره روز صفر (zero-day window) برای مدافعان سازمانی است. با ۱ توکن جعلی که کنترل کامل مدیریتی را فراهم می‌کند، حاشیه خطا در مدیریت وصله برای زیرساخت توسعه‌ای که در معرض اینترنت قرار دارد، عملاً از بین رفته است.[5][7]