Drei Schwachstellen in JFrog Artifactory werden aktiv ausgenutzt, um Zugriff auf selbst gehostete Instanzen zu erlangen und dort dauerhafte Hintertüren zu hinterlassen. Das berichtet das Sicherheitsunternehmen Wiz. Betroffen sind Systeme, über die Organisationen Software-Artefakte, Binärdateien, KI-Modelle, Container und Pakete verwalten.
CVE-2026-42018 ist ein Fehler in der Authentifizierung, der am 12. August behoben wurde. Über ihn lässt sich ein Token für einen anonymen Nutzer beschaffen, das Zugang zu sensiblen Artefakten und Repository-Daten eröffnet. CVE-2026-42016, gepatcht am 27. Juli, beruht auf einer unzureichenden Token-Prüfung und ermöglicht eine Rechteausweitung. CVE-2026-82329 schließlich ist eine Umgehung der Authentifizierung, die am 28. August geschlossen wurde; sie erlaubt es, ohne Anmeldung aus der Ferne administrative Rechte zu erlangen. Wenige Tage nach dem Patch wurde die Ausnutzung in freier Wildbahn gemeldet.
Seit Mitte August beobachtet Wiz, dass die beiden erstgenannten Lücken zu einer Angriffskette verbunden werden: erst das Token des anonymen Nutzers, dann der Sprung auf Administratorrechte. „Zwischen dem 15. August und dem 8. September 2026 haben wir beobachtet, wie mehrere Akteure CVE-2026-42018 und CVE-2026-42016 gegen selbst gehostete Artifactory-Instanzen verketteten“, so Wiz.
Nach der Übernahme legten die Angreifer dauerhafte Administratorkonten an, installierten bösartige Plugins, um beliebigen Code auszuführen, setzten über den Plugin-Endpunkt Shell-Befehle ab und luden Schadprogramme der zweiten Stufe nach. Teilweise aktualisierten sie ihre Skripte, um den Zugriff aufrechtzuerhalten.
In der ersten Septemberwoche begannen laut Wiz mehrere Akteure zudem, CVE-2026-82329 auszunutzen. Dabei ging es um das Abziehen von Konfigurationsdaten, dauerhaften Administratorzugang, das Erzeugen von Tokens, die Exfiltration von Cluster-Schlüsseln und das Auflisten vorhandener Ressourcen. In einigen Fällen hinterlegten die Angreifer eigene SSH-Schlüssel an den von ihnen angelegten Benutzerkonten.
Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-42018 und CVE-2026-42016 am Freitag in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf – eine Woche, nachdem CVE-2026-82329 dort eingetragen worden war. Gemäß der Direktive BOD 26-04 haben US-Bundesbehörden zwei Wochen Zeit, ihre verwundbaren Instanzen zu aktualisieren.
Allen Organisationen mit selbst verwalteten Artifactory-Installationen empfiehlt Wiz ein zügiges Update auf eine der Versionen 7.161.20, 7.146.38, 7.133.29, 7.125.20, 7.117.28 oder 7.111.21.