CVE-2026-66384: vulnerabilidad activa en JFrog Artifactory

CVE-2026-66384: vulnerabilidad activa en JFrog Artifactory

En corto

CVE-2026-66384 es una vulnerabilidad de tipo path traversal en JFrog Artifactory que permite a un usuario ya autenticado escribir datos fuera de la ruta de caché de Docker prevista, bajo condiciones concretas de repositorio remoto [1]. Afecta a organizaciones que usan Artifactory como repositorio de artefactos, en particular con repositorios remotos Docker configurados [1]. Está incluida en el catálogo CISA KEV de vulnerabilidades con explotación activa confirmada [2], lo que la convierte en una prioridad de gestión aunque su puntuación CVSS oficial sea "media" [1]. Qué hacer hoy: comprobar si tu organización usa JFrog Artifactory, revisar los permisos de los usuarios autenticados con acceso a repositorios Docker, y aplicar la actualización de seguridad en cuanto el proveedor la confirme.

Qué es y por qué importa

Según la descripción oficial registrada en NVD, un usuario autenticado puede escribir datos fuera del directorio de caché de Docker previsto, bajo condiciones específicas de repositorio remoto [1]. No se trata, por tanto, de un acceso anónimo desde fuera: quien explota el fallo ya dispone de una cuenta válida dentro de la plataforma, y el problema le permite salirse de los límites de almacenamiento que debería respetar.

NVD puntúa la vulnerabilidad con un CVSS de 5.3 y la clasifica como severidad "medium" [1]. Sin embargo, figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) que mantiene CISA [2], lo que confirma que ya se ha detectado explotación activa en el mundo real, independientemente de la puntuación base. Es precisamente esa combinación —impacto técnico calificado como moderado sobre el papel, pero explotación ya confirmada— lo que hace que nuestro radar interno de inteligencia OCIRIA, que analiza esta misma información pública de NVD y CISA KEV, la marque como prioridad crítica de gestión dentro de la categoría "path traversal / acceso a ficheros". Esta clasificación es un criterio interno de priorización de OCIRIA, no una fuente adicional independiente ni una puntuación oficial distinta de la de NVD.

Este tipo de fallo importa especialmente porque Artifactory suele actuar como repositorio central de artefactos (imágenes Docker, paquetes, binarios) dentro de la cadena de desarrollo de una empresa. Si un usuario autenticado logra escribir en ubicaciones no previstas, se pone en riesgo la integridad de los artefactos que circulan por ese repositorio.

A quién afecta

Afecta a organizaciones que utilizan JFrog Artifactory, el único vendor identificado en los datos verificados [1]. La descripción oficial señala que la explotación depende de que existan repositorios remotos configurados y de que el atacante disponga de una cuenta autenticada en la plataforma [1]. Los datos verificados no especifican versiones concretas afectadas ni el tamaño o sector de las organizaciones impactadas, así que cualquier valoración adicional sobre el perfil de víctima debe tratarse con prudencia hasta confirmar la versión exacta instalada en tu entorno.

Cómo saber si eres vulnerable

• Confirma si tu organización usa JFrog Artifactory y, en concreto, si tiene configurados repositorios remotos de tipo Docker, que es la condición que recoge la descripción oficial del fallo [1].
• Revisa qué usuarios autenticados tienen permisos de escritura sobre esos repositorios, ya que el fallo requiere una cuenta válida, no acceso anónimo [1].
• Comprueba si la instancia de Artifactory es accesible desde fuera de la red corporativa: cuanto más expuesta esté hacia el exterior, más cuentas potenciales podrían intentar la explotación descrita.
• Revisa los registros de actividad en busca de escrituras en rutas inusuales fuera de las carpetas de caché habituales.

Cómo protegerte

• Aplica la actualización de seguridad de JFrog Artifactory en cuanto el proveedor la confirme para tu versión instalada.
• Audita y restringe los permisos de los usuarios autenticados sobre los repositorios Docker, limitando quién puede escribir en ellos.
• Dado que la vulnerabilidad ya figura como explotada activamente [2], trátala con la misma urgencia que si tuviera una puntuación CVSS más alta, en lugar de guiarte solo por la etiqueta "medium" de NVD [1].
• Mantén una revisión periódica de qué paneles y servicios de administración de tu organización quedan accesibles desde internet, como parte de una higiene de seguridad básica.

Preguntas frecuentes

¿Es una vulnerabilidad crítica?

NVD la puntúa con CVSS 5.3 y la clasifica como severidad "medium" [1]. No obstante, al estar en el catálogo CISA KEV de vulnerabilidades explotadas activamente [2], el riesgo práctico es mayor de lo que sugiere esa puntuación, y por eso la seguimos con prioridad alta.

¿Qué producto está afectado?

JFrog Artifactory, según el vendor identificado en los datos verificados [1]. Las fuentes consultadas no confirman versiones concretas afectadas.

¿Necesita el atacante credenciales previas?

Sí. La descripción oficial especifica que debe tratarse de un usuario autenticado [1].

¿Hay pruebas de explotación real?

Sí, la vulnerabilidad está incluida en el catálogo CISA KEV, que solo recoge fallos con evidencia de explotación activa confirmada [2].

Fuentes

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-66384
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json