Artifactory CVE-2026-66384 no KEV: uma escrita no cache pode chegar à cadeia de software

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2026-66384 ao KEV em 27 de agosto. O feed descreve limitação imprópria de caminho no JFrog Artifactory, permitindo a um utilizador autenticado escrever fora do caminho de cache Docker pretendido sob condições específicas de repositório remoto; o prazo federal indicado é 10 de setembro.

A entrada KEV confirma exploração conhecida e descreve um requisito de utilizador autenticado e condições específicas de repositório remoto. Artifactory pode alimentar pipelines e registries; o impacto depende do caminho gravável, permissões, promoção e verificações posteriores.

O prazo de 10 de setembro decorre da diretiva federal dos EUA e não é um prazo legal português, mas serve como referência operacional curta. Corrigir o servidor sem verificar artefactos deixa aberta a hipótese de adulteração anterior. Assinaturas ajudam apenas quando são verificadas no consumo e quando o atacante não controla também a identidade, pipeline ou chave que produz a assinatura.

Decisão, limites e condição de bloqueio

Trate Artifactory como infraestrutura de confiança: confirme versões e configuração, reduza utilizadores capazes de atingir o caminho vulnerável, preserve logs e avalie se conteúdos ou metadados alterados poderiam ser promovidos para builds, imagens, ambientes ou clientes.

Corrigir o servidor sem verificar artefactos deixa aberta a hipótese de adulteração anterior. Assinaturas ajudam apenas quando são verificadas no consumo e quando o atacante não controla também a identidade, pipeline ou chave que produz a assinatura.

Execução e prova de conclusão

A execução deve começar por identificar instâncias, versões, licenças, modos, repositórios remotos, caches, utilizadores, tokens e pipelines consumidores. Depois, aplicar correção oficial, limitar contas, preservar auditoria e procurar escritas anómalas, paths inesperados e promoção subsequente. O fecho exige reconstruir uma amostra de artefactos críticos a partir de fontes limpas e comparar hashes, sbom, assinaturas e proveniência.

O caso fecha quando a versão e configuração corrigidas são provadas, a janela de auditoria foi revista, artefactos críticos reconciliam com fontes limpas e tokens ou chaves expostos foram revogados e substituídos.

• identificar instâncias, versões, licenças, modos, repositórios remotos, caches, utilizadores, tokens e pipelines consumidores.
• aplicar correção oficial, limitar contas, preservar auditoria e procurar escritas anómalas, paths inesperados e promoção subsequente.
• reconstruir uma amostra de artefactos críticos a partir de fontes limpas e comparar hashes, SBOM, assinaturas e proveniência.
• O caso fecha quando a versão e configuração corrigidas são provadas, a janela de auditoria foi revista, artefactos críticos reconciliam com fontes limpas e tokens ou chaves expostos foram revogados e substituídos.