Die Angriffskette beginnt mit CVE-2026-42018: Über diese Lücke erlangen Angreifer ein JSON Web Token (JWT) des internen anonymen Artifactory-Nutzers – und zwar auch dann, wenn der anonyme Zugriff deaktiviert ist. Das Token trägt zunächst nur geringe Rechte.
Im zweiten Schritt kommt CVE-2026-42016 ins Spiel, die auf einer unzureichenden Token-Validierung beruht. Damit werten die Angreifer ihre Berechtigungen auf Administratorniveau auf und tauschen das anonyme JWT gegen ein Token mit Admin-Gültigkeitsbereich ein.
„Zwischen dem 15. August und dem 8. September 2026 haben wir beobachtet, wie mehrere Akteure CVE-2026-42018 und CVE-2026-42016 gegen selbst gehostete Artifactory-Instanzen verketteten“, schreibt Wiz. „In mehreren Fällen sahen wir, dass eine maßgeschneiderte Rust-Backdoor mit Command-and-Control-Fähigkeiten abgelegt wurde.“
Nach dem Anlegen von Administratorkonten und der Erzeugung langlebiger Zugriffstoken installierten die Angreifer bösartige Groovy-Plugins, um beliebige Befehle auszuführen. Die Persistenz sicherten sie über die Rust-basierte Hintertür.
In der darauffolgenden Phase luden die Angreifer weitere Schadkomponenten in die Verzeichnisse /dev/shm, /tmp und /var/tmp, platzierten Webshells, entwendeten Artifactory-Konfigurationsdaten und Cluster-Join-Keys, zählten Repositories, Token und Benutzer auf und hinterlegten eigene SSH-Schlüssel in den neu erstellten Konten.
Die dritte Schwachstelle, CVE-2026-82329, stuft watchTowr als kritische Authentifizierungsumgehung ein. Die Firma hatte in diesem Monat beobachtet, wie darüber Administrator-Token erzeugt wurden.
Wiz rät Administratoren, umgehend auf die vom Hersteller genannten Artifactory-Versionen oder neuere zu aktualisieren. Nach dem Update sollten über das Internet erreichbare Instanzen gezielt untersucht werden – auf unerwartete Token-Erstellungen, unbekannte Administratorkonten, auffällige Plugin-Aktivitäten und Enumerationsanfragen. Zudem empfiehlt Wiz, den Zugriff auf vertrauenswürdige Systeme zu beschränken.
Zur schnellen Erkennung hat Wiz eine Liste von Kompromittierungsindikatoren (IoCs) zu den beobachteten Angriffen veröffentlicht.