Drei Patches, eine Angriffskette
JFrog hat seit dem 27. Juli 2026 drei getrennte Artifactory-Schwachstellen geschlossen, und Angreifer verbrachten Wochen damit, die ersten beiden zu verketten, bevor die dritte öffentlich wurde.
| CVE | Offengelegt | Betroffen jetzt |
|---|---|---|
| CVE-2026-42016 | 27 Jul 2026 | 59% (+6 wk) |
| CVE-2026-42018 | 12 Aug 2026 | 62% (+4 wk) |
| CVE-2026-82329 | 28 Aug 2026 | 49% (+2 wk) |
CVE-2026-42016 erlaubt es, ein niedrig privilegiertes Token gegen ein Administrator-Token einzutauschen. CVE-2026-42018 übergibt ein internes Token für anonyme Nutzer an einen Aufrufer, der sich nie angemeldet hat, selbst wenn der anonyme Zugriff abgeschaltet ist. CVE-2026-82329, offengelegt am 28. August mit einem CVSS-Wert von 9,8, erlaubt es einem nicht authentifizierten Angreifer, unter einer Standardkonfiguration direkt Administratorrechte zu erlangen.
Die genauen Schritte, die aus einem Gast einen Administrator machen
Die Sicherheitsfirma Wiz dokumentierte den genauen Mechanismus: Angreifer senden eine POST-Anfrage an /access/api/v1/aws/token/, mit einem abschließenden Schrägstrich, die ein anonymes JWT zurückgibt, obwohl der anonyme Zugriff deaktiviert ist. Anschließend senden sie dieses Token an /access/api/v1/tokens, um ein Administrator-Token anzufordern, das Artifactory ausstellt, ohne die tatsächliche Berechtigungsstufe des Anfragenden richtig zu prüfen.
Bei der neuesten Lücke, CVE-2026-82329, fand Wiz eine noch direktere Abkürzung: Ein einziger POST an /access/api/v1/registry/join liefert direkt ein Administrator-Token, ohne dass eine Verkettung nötig ist. Einmal drinnen, legten Angreifer dauerhafte Administratorkonten an, installierten über Artifactorys eigenes Plugin-Framework bösartige Groovy-Plugins, um Code auf dem Server auszuführen, und setzten in manchen Fällen Rust-basierte Backdoors mit Command-and-Control-Fähigkeit ein. Wiz beobachtete die verketteten Angriffe vom 15. August bis zum 8. September 2026, mit einer separaten Welle, die CVE-2026-82329 vom 1. bis zum 8. September ausnutzte.
Gepatcht heißt nicht behoben
Die Lücke zwischen einem existierenden Patch und einem Server, auf dem er tatsächlich läuft, ist hier die eigentliche Geschichte, und sie wird in Monaten gemessen, nicht in Tagen. JFrog schloss CVE-2026-42016 am 27. Juli in Version 7.133.11; sechs Wochen später waren laut Wiz-Telemetrie immer noch 59 Prozent der Organisationen dafür verwundbar.
CVE-2026-42018 lief nicht besser: bis zum 12. August in fünf Versionszweigen behoben, waren vier Wochen später noch 62 Prozent der Organisationen exponiert. CVE-2026-82329 bewegte sich am schnellsten, von 67 Prozent verwundbar bei der Offenlegung auf 49 Prozent nach zwei Wochen, doch das lässt immer noch rund die Hälfte aller Artifactory-Installationen offen für eine Lücke mit dem Schweregrad 9,8 von 10. Das Ausmaß automatisierter Angriffsversuche gegen ungepatchte Server ist nicht theoretisch: Fastly zählte rund 406.000 Angriffsversuche gegen CVE-2026-82329 an einem einzigen Tag, dem 2. September, demselben Tag, an dem CISA die Lücke in ihren Known-Exploited-Vulnerabilities-Katalog aufnahm.
Die EU-Pflicht, die noch niemand durchsetzt
CISA setzte US-Bundesbehörden eine feste Frist, den 5. September, drei Tage nachdem CVE-2026-82329 am 2. September in den KEV-Katalog aufgenommen wurde. Die EU hat keine vergleichbare öffentliche, terminierte Anordnung für private Unternehmen, obwohl Artikel 21 der NIS2 bereits viele mittelgroße Software- und IT-Dienstleistungsfirmen verpflichtet, einen dokumentierten Prozess zum Umgang mit Schwachstellen zu betreiben, der genau ein solches ungepatchtes, ans Internet angebundenes Lieferketten-Werkzeug abdeckt.
Das lässt eine echte Lücke für jedes EU-Unternehmen, das Artifactory selbst betreibt: Es gibt eine gesetzliche Pflicht, dieses Risiko nach NIS2 zu managen, aber keine veröffentlichte nationale oder EU-weite Frist, die den Punkt so erzwingt, wie es CISAs Anordnung in den USA tut. Vorerst ist der einzige verlässliche Treiber für das Patchen einer in der EU betriebenen Artifactory-Instanz das eigene Sicherheitsteam eines Unternehmens, das einen Herstellerhinweis liest und danach handelt, nicht die Uhr einer Aufsichtsbehörde.
Weiterlesen: GitLabs am schlechtesten bewertete Schwachstelle braucht nur ein öffentliches Projekt | Die Lücke Steckte Im Werkzeug, Das Sie Schließen Sollte
