Drie patches, één aanvalsketen
JFrog heeft sinds 27 juli 2026 patches uitgebracht voor drie afzonderlijke Artifactory-kwetsbaarheden, en aanvallers besteedden weken aan het koppelen van de eerste twee voordat de derde openbaar werd.
| CVE | Bekendgemaakt | Nu nog kwetsbaar |
|---|---|---|
| CVE-2026-42016 | 27 Jul 2026 | 59% (+6 wk) |
| CVE-2026-42018 | 12 Aug 2026 | 62% (+4 wk) |
| CVE-2026-82329 | 28 Aug 2026 | 49% (+2 wk) |
CVE-2026-42016 maakt het mogelijk een laagbevoegd token om te wisselen voor een token met beheerdersrechten. CVE-2026-42018 geeft een intern anoniem-gebruikerstoken aan iemand die nooit is ingelogd, zelfs met anonieme toegang uitgeschakeld. CVE-2026-82329, bekendgemaakt op 28 augustus met een CVSS-score van 9,8, laat een niet-geauthenticeerde aanvaller onder een standaardconfiguratie rechtstreeks beheerdersrechten verkrijgen.
De exacte stappen die een gast tot beheerder maken
Beveiligingsbedrijf Wiz documenteerde het precieze mechanisme: aanvallers sturen een POST-verzoek naar /access/api/v1/aws/token/, met een afsluitende schuine streep, dat een anoniem JWT teruggeeft ondanks dat anonieme toegang is uitgeschakeld. Daarna sturen ze dat token naar /access/api/v1/tokens om een token met beheerdersrechten aan te vragen, dat Artifactory afgeeft zonder het werkelijke bevoegdheidsniveau van de aanvrager goed te controleren.
Voor het nieuwste lek, CVE-2026-82329, vond Wiz een nog directere sluiproute: één enkele POST naar /access/api/v1/registry/join geeft rechtstreeks een beheerderstoken terug, zonder dat koppeling nodig is. Eenmaal binnen maakten aanvallers permanente beheerdersaccounts aan, installeerden ze kwaadaardige Groovy-plugins via Artifactory's eigen pluginraamwerk om code op de server uit te voeren, en zetten ze in sommige gevallen Rust-gebaseerde backdoors met command-and-control-mogelijkheden in. Wiz zag de gekoppelde aanvallen lopen van 15 augustus tot 8 september 2026, met een afzonderlijke golf die CVE-2026-82329 uitbuitte van 1 tot 8 september.
Gepatcht betekent niet opgelost
Het gat tussen het bestaan van een patch en een server die deze daadwerkelijk draait, is hier het echte verhaal, en het wordt gemeten in maanden, niet in dagen. JFrog verhelpte CVE-2026-42016 op 27 juli in versie 7.133.11; zes weken later was, volgens de telemetrie van Wiz, nog 59 procent van de organisaties hiervoor kwetsbaar.
CVE-2026-42018 deed het niet beter: verholpen over vijf versietakken tegen 12 augustus, bleef vier weken later 62 procent van de organisaties blootgesteld. CVE-2026-82329 bewoog het snelst, van 67 procent kwetsbaar bij openbaarmaking naar 49 procent na twee weken, maar dat laat nog steeds ongeveer de helft van alle Artifactory-installaties open voor een lek met een ernst van 9,8 op 10. De schaal van geautomatiseerde aanvalspogingen tegen ongepatchte servers is niet theoretisch: Fastly registreerde ongeveer 406.000 aanvalspogingen tegen CVE-2026-82329 op een enkele dag, 2 september, dezelfde dag waarop CISA het toevoegde aan zijn catalogus van bekende uitgebuite kwetsbaarheden.
De EU-verplichting die nog niemand afdwingt
CISA gaf Amerikaanse federale instanties een harde deadline, 5 september, drie dagen na het toevoegen van CVE-2026-82329 aan zijn KEV-catalogus op 2 september. De EU heeft geen vergelijkbaar openbaar, gedateerd bevel voor private bedrijven, ook al verplicht artikel 21 van de NIS2-richtlijn al veel middelgrote software- en IT-dienstverleners om een gedocumenteerd proces voor kwetsbaarheidsbeheer te voeren dat precies dit soort ongepatchte, aan het internet blootgestelde toeleveringstool dekt.
Dat laat een reëel gat voor elk EU-bedrijf dat Artifactory zelf host: er bestaat een wettelijke verplichting om dit risico onder de NIS2-richtlijn te beheren, maar er is geen gepubliceerde nationale of EU-brede deadline die het punt afdwingt zoals het bevel van CISA dat in de VS doet. Voor nu is de enige betrouwbare drijfveer om een in de EU gehoste Artifactory-instantie te patchen het eigen beveiligingsteam van een bedrijf dat een leveranciersadvies leest en daarnaar handelt, niet de klok van een toezichthouder.
Lees hierna: GitLabs slechtst beoordeelde lek heeft aan één openbaar project genoeg | De Bug Brak Precies Wat Patchen Nodig Heeft
