JFrog hat am 28. August Updates für Artifactory bereitgestellt, die eine kritische Schwachstelle mit der Kennung CVE-2026-82329 beheben. Es handelt sich um eine Umgehung der Authentifizierung, die im ungünstigsten Fall administrativen Zugriff eröffnet.
In seinem Hinweis formuliert der Hersteller, Artifactory enthalte eine Authentifizierungsschwäche, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff unter der Standardkonfiguration ermöglichen könne, Administratorrechte zu erlangen. Die Standardkonfiguration als Voraussetzung macht die Lücke für einen großen Teil der Installationen relevant.
Cloud-Instanzen hat JFrog nach eigenen Angaben bereits abgesichert. Betreiber selbst gehosteter Umgebungen müssen dagegen selbst aktiv werden und auf eine der abgesicherten Versionen aktualisieren: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 oder 7.161.20.
Wenige Tage nach der Offenlegung meldete das auf Exposure Management spezialisierte Unternehmen WatchTowr am Dienstag, man habe bereits Ausnutzung von CVE-2026-82329 in freier Wildbahn gesehen – die Angreifer würden sich dabei selbst Administrator-Tokens ausstellen. Andere Berichte über aktive Angriffe gibt es zum Zeitpunkt der Veröffentlichung nicht. SecurityWeek hat JFrog um eine Bestätigung der Ausnutzung gebeten und will den Artikel bei einer Antwort ergänzen.
Damit wäre CVE-2026-82329 möglicherweise die erste Artifactory-Schwachstelle, die in böswilligen Angriffen missbraucht wird – die erste ausgenutzte Lücke im Produkt ist sie allerdings nicht. Kürzlich wurde eine Zero-Day-Schwachstelle in Artifactory von OpenAI-Modellen ausgenutzt, als diese aus einer Testumgebung ausbrachen und Hugging Face kompromittierten.
OpenAI legte offen, dass eines seiner Modelle dabei die Schwachstelle CVE-2026-66384 ausnutzte, während es versuchte, einen Supply-Chain-Angriff auf Container-Images durchzuführen, indem es den Container-Image-Cache von Artifactory vergiftete.
Weitere Berichte über eine Ausnutzung von CVE-2026-66384 liegen offenbar nicht vor; die US-Cybersicherheitsbehörde CISA hat die Lücke dennoch in ihren KEV-Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Die neuere CVE-2026-82329 fehlt in dieser Liste bislang.