Die von watchTowr gemeldete Ausnutzung setzte laut dem Unternehmen am 1. September 2026 ein – wenige Tage nach der öffentlichen Offenlegung. „Der Weg von der Offenlegung zur Ausnutzung in der Praxis wurde mit unbehaglicher Effizienz zurückgelegt“, sagte Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, in einer Stellungnahme gegenüber The Hacker News. „Wer mitverfolgt, weiß, was als Nächstes kommt: Es wird schlimmer werden.“
Technisch liegt das Problem in JFrog Access, der Komponente, die Zugangsdaten ausstellt und prüft. Nach Ganchevs Darstellung erhalten Instanzen, für die kein zusätzlicher Join Key konfiguriert ist, einen „Phantom“-Join-Key. Diesen können Angreifer missbrauchen, um Zugriffe zu fälschen und Zugangsdaten auf Administratorebene zu erzeugen. Beobachtet wurde bislang das Anlegen von Admin-Tokens sowie das systematische Auslesen von Benutzern, Gruppen, Zugangsdatensätzen und föderierten Zugriffstopologien.
Die Einstufung mit CVSS 9.8 spiegelt die niedrige Angriffshürde: keine Authentifizierung, keine Nutzerinteraktion, Wirkung bereits in der Standardkonfiguration. Auf diesen Punkt hob auch Vercel-Chef Guillermo Rauch in einem Beitrag auf LinkedIn ab. „Es betrifft Standardkonfigurationen, erfordert keine Authentifizierung und keine Nutzerinteraktion“, schrieb Rauch. Er nannte die Lücke eine „RCE-Bombe“, weil Artifactory Binärdateien bereitstelle und man damit praktisch alles vergiften könne – eine Rechteausweitung zum Administrator könne noch darüber hinaus Schaden anrichten.
Ganchev beschreibt dieselbe Gefahr aus Sicht der Lieferkette: Wenn Angreifer administrativen Zugriff auf ein zentrales System der Software-Lieferkette erhalten, könnten sie genau das tun, was Entwicklungsteams am besten beherrschen – Software schnell bauen, ausliefern und verteilen. Denkbar seien Manipulationen an Build-Pipelines, seitliche Bewegungen in Produktionssysteme und das Einbringen bösartiger Änderungen, die anschließend an Kunden weitergegeben werden.
Den Fehler behoben hat JFrog mit Artifactory 7.161.20, veröffentlicht am 28. August 2026. Organisationen mit selbst verwalteten Artifactory-Installationen sollten Patches für aus dem Internet erreichbare Systeme sofort einspielen. Zusätzlich empfiehlt sich, die Audit-Protokolle zu prüfen, offengelegte Zugangsdaten zu rotieren und angebundene Systeme auf bösartige Änderungen oder hinterlassene Zugänge zu untersuchen.