Die Kette trifft weniger Builds als jede der beiden Lücken einzeln, denn ein Server muss von beiden betroffen sein — das Schließen einer von beiden genügt. In den von JFrog veröffentlichten Bereichen endet CVE-2026-42016 bei 7.133.11, womit die Zweige 7.146 und 7.161 außerhalb liegen. Den Fix für CVE-2026-42018 lieferte JFrog am 28. April für den Zweig 7.146 und am 12. August für den Zweig 7.133 — drei Tage vor Beginn der von Wiz beobachteten Angriffe.
Was mit den Administratorrechten geschah, war unterschiedlich; Wiz betont, dass kein einzelner Akteur alle beobachteten Schritte ausführte. Auf den kompromittierten Servern legten Angreifer Administratorkonten an und ließen sie bestehen. Zudem installierten sie über das Plugin-Framework von Artifactory bösartige Groovy-Plugins und erlangten damit Codeausführung auf dem Server. Teilweise wurden über den Endpunkt zur Plugin-Ausführung Shell-Befehle abgesetzt, um Dateien aufzulisten. Ein Dropper lud eine Binärdatei über HTTP, schrieb sie in ein für alle schreibbares Verzeichnis wie /tmp und öffnete einen Kanal zur Befehls- und Steuerungsinfrastruktur. Mehrfach fand Wiz zudem eine eigens entwickelte Backdoor in Rust mit Befehls- und Steuerungsfunktionen.
Eine dritte Lücke im selben Bericht, CVE-2026-82329, wurde zwischen dem 1. und 8. September separat ausgenutzt und ist der Grund, weshalb auch Server auf neueren Zweigen betroffen sein können. Es handelt sich um eine kritische Authentifizierungs-Umgehung mit CVSS-Wert 9.8, die die Standardkonfiguration von Artifactory trifft und ohne weitere Lücke auskommt: Ein unauthentifizierter Angreifer mit Netzwerkzugang erlangt allein damit Administratorrechte, auf sechs Release-Zweigen bis 7.161.
The Hacker News berichtete am 1. September, dass Angreifer wenige Tage nach der Offenlegung durch JFrog begannen, sich über diese Lücke Administrator-Token zu erstellen. Die CISA nahm sie am 2. September in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte Bundesbehörden eine Frist zum 5. September. Das Content-Delivery-Netzwerk Fastly berichtet, ein öffentlicher Exploit sei am 1. September erschienen, gefolgt von Scans; am 2. September zählte Fastly rund 406.000 Ausnutzungsversuche auf seiner Plattform — Versuche im Datenverkehr, keine bestätigten Kompromittierungen.
Auf über diese Lücke übernommenen Servern las Wiz zufolge die Angreifer die Systemkonfiguration aus und entnahmen mehrfach den Cluster-Join-Key, das gemeinsame Geheimnis, mit dem sich Artifactory-Knoten gegenseitig registrieren. Wer nicht schnell aktualisieren kann, findet bei JFrog einen Behelf: einen Zufallswert erzeugen und als zusätzlichen Join-Key in der system.yaml hinterlegen, damit bei der Registrierung nur eigene Schlüssel akzeptiert werden. Für die beiden verketteten Lücken existiert in keinem der eingesehenen Advisories eine Zwischenlösung. JFrog nennt für CVE-2026-42016 nur eine korrigierte Version, 7.133.11, und keinen separaten Fix pro Zweig; ob ein späterer Build eines älteren Zweigs wie 7.117.28 die Lücke ebenfalls schließt, bleibt offen. The Hacker News hat JFrog dazu befragt und Wiz gefragt, welche Versionen die kompromittierten Server einsetzten. Für Cloud-Instanzen sei laut JFrog nichts zu tun.
Angelegte Administratorkonten verschwinden mit dem Update nicht. Fastly rät, jeden exponierten Server als kompromittiert zu behandeln: „Ein Patch widerruft keine bereits ausgestellten Token." Empfohlen werden das Rotieren des Plattform-Join-Keys, das Widerrufen aller seit dem 28. August ausgestellten Zugriffstoken sowie eine Prüfung von Administratorkonten, Repositories und Konfigurationsänderungen. Auffällig ist vor allem ein Konto, das mehr tut, als seine Rechte erlauben — etwa der interne anonyme Benutzer, der Token erstellt, Benutzer auflistet oder Plugins liest und schreibt. Die von Wiz gesehenen Konten tragen teils Proof-of-Concept-Namen wie 0xTerror oder svc_ und labadmin_ mit Zufallszeichen, teils unauffällige wie jfrog-distribution, jfrog-insight und repo-service; der Bericht listet Angreiferadressen und einen Payload-Hash.
CVE-2026-42016 wurde am 27. Juli als Teil einer Reihe von Artifactory-Advisories veröffentlicht, von denen mehrere — darunter dieses — Forschern von OpenAI zugeschrieben werden. The Hacker News berichtete im Juli, JFrog habe bestätigt, dass OpenAI-Modelle bei einer internen Evaluierung einen Artifactory-Zero-Day ausnutzten; welche CVE-Einträge den genutzten Lücken entsprechen, hat keines der beiden Unternehmen mitgeteilt.